PHP SECURITY
PHPの重大脆弱性とWordPressサイト ― まずやること、そしてその先
2026年10月21日、Webサイトの多くを動かしているプログラミング言語PHP本体に重大な脆弱性が見つかり、修正版が公開されました。IPAや国家サイバー統括室が注意喚起を行う、めずらしい事態です。
このページでは、WordPressでサイトを運用している企業のご担当者に向けて、まず今日やることと、次の緊急パッチの夜に担当者が走らなくてすむ構造の2つをまとめました。
本ページの事実関係は2026年10月22日時点の公開情報に基づいています。最新の状況はページ末尾の一次情報をご確認ください。
WHAT HAPPENED
何が起きたか
今回の問題は「WordPressの脆弱性」ではなく「PHP本体の脆弱性」です。WordPressやプラグインを最新にしていても、PHPが古ければ対象になります。
- 公開日時
- 2026年10月21日 23時（日本時間）に、PHP開発チームが修正版を公開。前日の10月20日に「重大なセキュリティリリース」として事前告知されていました。
- 脆弱性
- PHP本体の2件（CVE-2026-109618／CVE-2026-109619・通称「php2shell」）。深刻度はCVSS v4.0で9.2（Critical）。条件がそろうと、ログインなしで外部からサーバー上の任意のプログラムを実行されるおそれがあります。
- 影響範囲
- Webのリクエストを処理しているPHPすべて（PHP-FPM・Apacheのmod_php・php-cgi等）。WordPressだけの問題ではなく、PHPで動くCMS（Drupal・Joomla・Magento等）も同じ影響を受けると報告されています。
- 修正版
- PHP 8.5.12／8.4.27／8.3.36／8.2.35。サポート終了の7.4〜8.1には最小限の修正コードのみが公開され、7.3以前には修正がありません（新しい系列へのアップグレードが必要）。
- 対処法
- PHP本体を修正版へ更新することだけが完全な対策です。WordPress本体やプラグイン・テーマを更新しても直りません。更新後はPHPの再起動が必要です。
- 国や関係機関の動き
- IPA（情報処理推進機構）が10月21日に事前の注意喚起を出し、PHPの利用状況の棚卸しと速やかな適用準備を求めました。国家サイバー統括室もXで注意喚起を行い、米国のCISAも即時のパッチ適用を要請しています。セキュリティ各社からは、悪用を試みる通信を観測したとの報告が出ています。
FIRST THINGS FIRST
まずやること ― PHPの更新が最優先です
サイトの作り方を見直す話はあとにして、まずPHPを修正版へ更新してください。レンタルサーバーをお使いなら、多くの場合は管理画面の操作だけで済みます。
- 1
PHPのバージョンを確認する
WordPressの管理画面「ツール → サイトヘルス → 情報 → サーバー」、またはレンタルサーバーの管理画面でPHPのバージョンを確認します。8.2.35／8.3.36／8.4.27／8.5.12より古ければ対象です。
※ 制作会社・保守会社に任せている場合は「10月21日に公開されたPHPの修正版（php2shell対応）は適用済みですか？」と、この一文で確認できます。
- 2
PHPを修正版へ更新する
レンタルサーバーなら、管理画面のPHPバージョン切替で修正版の系列を選ぶだけで済むことが多いです。自社サーバーやVPSの場合は、OSのパッケージ更新で修正版を適用し、PHP（php-fpm／Apache）を再起動します。
※ PHP 7.x以前を使っている場合は、修正版そのものがありません。8.2以上への移行が必要で、古いプラグイン・テーマが動かなくなることがあるため、確認用の環境で動作確認してから切り替えてください。
- 3
更新後に動作を確認し、記録に残す
トップページ・お問い合わせフォーム・管理画面へのログインが正常に動くことを確認します。「いつ・誰が・どのバージョンへ更新したか」を記録しておくと、次回の対応と監査に役立ちます。
ここまでで、今回の脆弱性への対応は完了です。サイトの作り方を変えなくても、今回の件は防げます。
WHY IT REPEATS
なぜ「緊急パッチの夜」は繰り返すのか
WordPressは、訪問者がページを開くたびにサーバー上でPHPが動き、データベースから内容を取り出してページを組み立てる仕組みです。便利な反面、PHP・データベース・WordPress本体・プラグインのどれかに穴が見つかるたびに、公開サーバーがそのまま攻撃の入口になります。今回のような緊急対応は、この構造を持つ限り、今後も繰り返されます。
一方、静的サイトは「完成済みのHTMLと画像」を世界規模のCDN（配信ネットワーク）から配信するだけの構造です。サーバー上でPHPもデータベースも動いていないため、今回のような「サーバー上で動くPHPの脆弱性」の影響そのものを受けません。管理画面もログイン画面も公開サーバー上にはなく、アクセスが集中しても「落とすべきサーバー」がそもそも存在しません。
横にスクロールできます
| 従来のWordPress運用 | 静的サイト運用（AIサイトコンシェルジュ） | |
|---|---|---|
| サーバー上で動くもの | PHP・データベース・WordPress本体・プラグイン | なし（完成済みのHTML・画像をCDNから配信するだけ） |
| 緊急パッチが出た夜 | 担当者または保守会社が、その日のうちにPHP・WordPress・プラグインを更新 | サーバー側のPHPが存在しないため、この種類の脆弱性の影響そのものを受けない |
| ログイン画面 | 公開サーバー上に管理画面があり、不正ログインの試行を受け続ける | 公開サーバー上に管理画面がない（更新はソース管理と確認用ページで行う） |
| アクセス集中・DDoS | サーバーの処理能力が上限。プラグインやCDNで補強が必要 | 世界規模のCDNから配信するため「落とすべきサーバー」がそもそもない |
| 日々の更新 | 管理画面で編集、または制作会社へ依頼（見積もり・待ち時間） | AIサイトコンシェルジュなら、日本語で伝えるだけで最短数分で確認用ページに反映 |
静的サイトにしても、なくならないもの
「脆弱性がゼロになる」わけではありません。残るのは次のような点で、これらは定期的な点検で向き合い続ける必要があります。
- お問い合わせフォームの送信先など、外部サービスの脆弱性・設定（当社では依存ソフトの点検とキー管理を四半期ごとに基礎点検します）
- CDN・DNS・ソース管理サービスなど、利用しているサービス側のアカウント管理（多要素認証・権限の最小化）
- 掲載内容そのものの誤り・個人情報の載せ過ぎ（サイト構成診断・校正で定期的に点検します）
THE NEXT STEP
その先 ― 静的サイトに移行して、更新はAIに話しかけるだけに
静的サイトの弱点は、長らく「更新に専門知識が要る」ことでした。AIサイトコンシェルジュは、既存のWordPressサイトをURLを維持したまま静的サイトへ移行し、その後の更新を「どこを・どう直すか」をAIに日本語で伝えるだけにするサービスです。修正は社内限定の確認用ページに反映され、「公開して」の一言で本番に反映されます。
ライブリッツ自身のコーポレートサイト（このサイト）も、この仕組みで運用しています。移行前の旧サイトはサーバーが直接インターネットに露出し、ポートスキャンの標的になっていました。移行後は、今回のPHPの脆弱性に対しても更新作業そのものが発生していません。
SEO・UI/UX・アクセシビリティ・文章校正・アクセス解析・セキュリティなど10職種の専門家に相当するAIチームが常駐し、「セキュリティを見て」の一言で依存ソフトや設定の基礎点検を行うところまで含みます。
FAQ
よくあるご質問
- WordPressを使っているだけで危険なのですか？
今回の脆弱性はWordPressではなくPHP本体のものです。PHPを修正版へ更新すれば、WordPressを使い続けても今回の問題は解消します。ただし、サーバー上でPHPが動く構成である限り、同じ種類の緊急対応は今後も繰り返し発生します。
- PHPを更新したら、それで終わりですか？
今回の件については終わりです。あわせて、WordPress本体・プラグイン・テーマが最新か、使っていないプラグインが残っていないか、管理画面のログインに多要素認証が設定されているかを見直すと、次の緊急対応の負担が減ります。
- 静的サイトに移行すると、URLやデザインは変わりますか？
URLは維持したまま移行します（どうしても変わるURLは1対1の301リダイレクトで接続）。デザインは現行のまま再現することも、移行にあわせて整えることもできます。積み上げた検索エンジンの評価はそのまま引き継がれます。
AIサイトコンシェルジュのサービス内容を見る →- 静的サイトにすると、更新は誰がどうやって行うのですか？
AIサイトコンシェルジュでは、ご担当者がAIに日本語で「どこを・どう直すか」を伝えるだけで、確認用ページに反映されます。内容を確認して「公開して」と指示するまで一般には公開されません。公開サーバー上に管理画面やログイン画面は存在しません。
- まず現状を見てもらうだけ、というお願いはできますか？
できます。現在のサイトURLをお知らせいただければ、全ページ×7観点（SEO／UI・UX／アクセシビリティ／文章校正／リンク切れ／表示速度／セキュリティ・可用性）の診断と移行のご提案を無料で行います。サイトには一切変更を加えません。
お問い合わせフォームへ →
FREE AUDIT
まずは現状のサイトを無料で診断します
現在のサイトのURLをお知らせいただければ、全ページ×7観点の診断と移行のご提案を無料で行います。サイトには一切変更を加えません。
お問い合わせ内容に「PHP脆弱性のページを見た」とお書きいただければ、担当が優先してご連絡します。