2026年10月、Webサイトの動作に広く利用されているプログラミング言語「PHP」で、深刻度が最高区分の「Critical」に該当する重大な脆弱性2件が明らかになった。
今回の問題は、世界中で利用されているコンテンツ管理システム「WordPress」にも関係する可能性がある。WordPressはPHPを利用して動作するため、使用中のPHPが脆弱性の影響を受けるバージョンに該当する場合、セキュリティ上の対策が必要になる。
ただし、今回確認されたのはPHP自体の脆弱性であり、WordPress本体に新たな脆弱性が発見されたという意味ではない。また、すべてのWordPressサイトで攻撃が成立することが確認されたわけでもない。
サイト運営者は、WordPressの更新状況だけでなく、サーバー側で使用しているPHPのバージョンや、レンタルサーバー事業者による修正対応を確認する必要がある。
なぜWordPressにも影響する可能性があるのか
WordPressは、PHPを主要な開発言語として使用しているオープンソースのコンテンツ管理システム（CMS）だ。
WordPressで記事を表示したり、管理画面にログインしたりする際には、サーバー上のPHPが処理を実行している。
そのため、PHP自体に重大な脆弱性が存在すると、WordPressのプログラムに問題がなくても、動作基盤であるPHPを通じてセキュリティ上の影響を受ける可能性がある。
欧州連合のサイバーセキュリティ対応組織「CERT-EU」は、今回の脆弱性について、認証を必要としない遠隔コード実行につながる可能性を指摘している。
遠隔コード実行とは、攻撃者がネットワーク経由で対象システムに意図しないプログラムや命令を実行させることを指す。実際に攻撃が成立した場合、情報の窃取やWebサイトの改ざんなどにつながるおそれがある。
ただし、2026年10月21日の修正公開予定時刻前の段階では、詳細な攻撃成立条件は公表されていない。
WordPressを最新版にしていれば安全なのか
WordPress本体を最新版に更新しているだけでは、PHP自体の脆弱性を修正したことにはならない。
WordPressとPHPは、それぞれ別のソフトウェアであり、原則として更新の仕組みも異なる。
WordPressの自動更新機能は、WordPress本体や対応するプラグイン、テーマなどを更新するもので、サーバー上のPHPまで必ず更新する仕組みではない。
PHPの更新は、契約しているレンタルサーバー事業者が実施する場合もあれば、サイト運営者自身がサーバー管理画面などから切り替える必要がある場合もある。
このため、WordPressの管理画面で「更新はすべて完了しています」と表示されていても、PHPのセキュリティ対策まで完了しているとは限らない。
使用中のPHPバージョンを確認する方法
WordPressには、サーバー環境やソフトウェアの状態を確認できる「サイトヘルス」という機能が標準で用意されている。
管理画面にログインし、次の順番で操作することで、現在のPHPバージョンを確認できる。
- WordPressの管理画面を開く
- 「ツール」から「サイトヘルス」を選択する
- 「情報」タブを開く
- 「サーバー」の項目を展開する
- 「PHPバージョン」を確認する
表示されたバージョンを控え、PHP公式や契約しているサーバー事業者が公開するセキュリティ情報と照合することが重要だ。
なお、サイトヘルスで推奨バージョンと表示されている場合でも、今回の脆弱性に対する修正が適用されているとは限らない。安全性の判断には、修正済みバージョンの情報を確認する必要がある。
PHPの推奨バージョンと更新時の注意点
WordPress公式は現在、PHP 8.3以上の使用を推奨している。
一方、WordPress 7.0ではPHP 7.4以上が最低動作要件となっており、古いPHPでもWordPress自体が動作する場合がある。
しかし、WordPressが動作することと、PHPのセキュリティ更新が提供されていることは別の問題だ。
サポートが終了したPHPを使用している場合、脆弱性が発見されても通常のセキュリティ修正を受けられない可能性がある。
また、PHPのバージョンを変更すると、一部のプラグインやテーマ、独自に開発した機能などに互換性の問題が発生する場合がある。
更新前にはサイト全体のバックアップを取得し、可能であれば検証環境で動作を確認することが望ましい。
サイト運営者が今確認すべきこと
今回の脆弱性について、独立行政法人情報処理推進機構（IPA）は2026年10月21日、PHPを利用するWebサイト運営者や開発者に対し、セキュリティリリース公開後の迅速な対応に向けた準備を呼びかけた。
特に確認したいのは、現在のPHPバージョン、サーバー事業者の更新方針、バックアップの取得状況、PHP更新後の互換性だ。
レンタルサーバーを利用している場合は、事業者の公式サイトやサポート情報で、今回の脆弱性に関する対応状況を確認するとよい。
修正プログラムが公開された後は、影響を受けるバージョンと修正済みバージョンを照合し、必要な更新を速やかに実施することが重要になる。
直ちに更新できない場合は、サーバー管理者や提供事業者に相談し、必要に応じて対象サービスへの外部アクセス制限や一時的な公開停止も検討する。
ただし、公開停止の必要性は、実際の影響範囲や運用環境に応じて判断する必要がある。
今回の脆弱性については、正確な影響範囲と修正済みバージョンが確定するまで、PHP公式および各サーバー事業者の発表を継続して確認することが求められる。
※本記事は2026年10月21日23時のセキュリティリリース公開予定時刻より前の情報に基づいています。
コメント