BLOG / セキュリティ
WordPressのPHPバージョン確認方法｜重大脆弱性CVSS9.2への対応を解説
2026年10月にPHPでCVSS9.2の重大な脆弱性が公表されました。WordPressでPHPバージョンを確認する方法、修正版、レンタルサーバー利用時の確認事項、更新前に注意するポイントをPieceInnovationが解説します。
2026年10月21日、PHPプロジェクトから、認証なしでリモートコード実行につながる可能性がある2件の重大な脆弱性が公表されました。
修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されており、PHP公式はすべての利用者に対して、直ちにアップデートすることを強く推奨しています。
さらに翌日現在、WordPress公式からも今回のPHP脆弱性について注意喚起が出ています。
WordPressを利用している企業やサイト管理者の中には、
「WordPressを使っているけれど、自社サイトは大丈夫なのか」
「PHPのバージョンはどこで確認できるのか」
「レンタルサーバーを使っていれば、自分では何もしなくていいのか」
「PHPを更新するとサイトが壊れないか心配」
と感じている方も多いのではないでしょうか。
今回は、企業サイトやWordPressサイトを運営している方に向けて、自社サイトで利用しているPHPバージョンの確認方法と、今回の脆弱性を受けて確認しておきたいポイントを株式会社PieceInnovationが解説します。
今回の問題は「WordPressの脆弱性」ではありません
まず重要なのが、今回発表された脆弱性は、WordPressそのものの脆弱性ではなく、WordPressを動かしているPHP側の問題だということです。
WordPress公式も今回の問題について、
WordPress固有の脆弱性ではない
PHPアプリケーションをホストするサーバー全般が対象
今回の問題のためのWordPressアップデートは必要なく、予定もない
と案内しています。
WordPressはPHPというプログラミング言語で動いています。
イメージとしては、
WordPress = 建物
PHP = 建物を動かしている設備
のような関係です。
建物そのものに問題がなくても、その土台となる設備に重大な問題があれば、サイト全体に影響する可能性があります。
そのため、
「WordPressを最新版にしているから大丈夫」
「プラグインを更新しているから大丈夫」
というだけでは、今回のPHP脆弱性への対応が完了しているとは言えません。
WordPressでPHPバージョンを確認する方法
WordPress公式では、管理画面から現在使用しているPHPバージョンを確認する方法を案内しています。
WordPressの管理画面にログインしたら、
「ツール」
↓
「サイトヘルス」
↓
「情報」
↓
「サーバー」
と進みます。
その中に、
PHPバージョン
という項目があります。
ここに表示されている数字を確認してください。
例えば、
8.3.36
と表示されていればPHP 8.3系が使用されています。
ただし、ホスティング会社が独自にセキュリティ修正をバックポートしているケースもあります。
そのため、単純なバージョン番号だけで判断するのではなく、今回の脆弱性「CVE-2026-109618」「CVE-2026-109619」への対応状況をサーバー会社にも確認することが重要です。
今回公表された修正版
2026年10月21日にPHP公式から公開された修正版は以下です。
PHP系列
今回公開された修正版
PHP 8.5
8.5.12
PHP 8.4
8.4.27
PHP 8.3
8.3.36
PHP 8.2
8.2.35
PHP公式では、これらのバージョンで今回問題となった2件の重大な脆弱性を修正したと発表しています。
ただし、利用しているサーバー会社やLinuxディストリビューションによっては、元のバージョン番号を維持したままセキュリティ修正のみが適用される場合があります。
そのため、
「8.3.36じゃないから必ず危険」
と一律に判断するのではなく、利用しているサーバー会社の公式情報を確認してください。
PHP 8.1以前を利用している場合は特に確認を
WordPress公式は、PHP 8.2より前のPHPについて、PHPプロジェクトからセキュリティアップデートを受けられない状態になっていると案内しています。
PHP 8.1以前を使っているサイトの場合は、今回の脆弱性だけでなく、今後のセキュリティ対策も含めて環境の見直しをおすすめします。
PHPのバージョンを長期間変更していない場合、
古いWordPressテーマ
古いプラグイン
独自開発されたシステム
古いPHPライブラリ
などが原因で、簡単にPHPを更新できないケースもあります。
その場合は、無理に本番環境のPHPを切り替えるのではなく、事前に検証環境で互換性を確認することが重要です。
レンタルサーバーなら何もしなくても大丈夫？
ここは特に注意したいポイントです。
Xserverやお名前.comなどのレンタルサーバーを利用している場合、サーバー会社側でPHPやWAFなどのセキュリティ対応が行われることがあります。
WordPress公式も、ホスティング会社がすでにPHPの更新やWAFルールの導入を進めている可能性があると案内しています。
しかし、
「レンタルサーバーだから自動的に全部対応される」
とは限りません。
例えば、サーバー会社側で新しいPHPが提供されても、契約者側でPHPバージョンを切り替える必要があるサービスもあります。
そのため、
サーバー会社に確認したい内容
以下を確認しておくことをおすすめします。
現在利用しているPHPバージョン
CVE-2026-109618への対応状況
CVE-2026-109619への対応状況
サーバー側で自動的に修正されるのか
利用者側でPHPバージョンの変更が必要なのか
WAFなどの暫定的な対策が行われているか
特に会社のコーポレートサイトやECサイト、採用サイト、会員サイトなどを運営している場合は、「サーバー会社がやってくれていると思っていた」で終わらせないことが重要です。
PHPを最新版に変更すればいい？勝手な更新には注意
では、管理画面からPHPを最新バージョンへ変更すればよいのでしょうか。
ここにも注意が必要です。
PHPのバージョンを変更すると、
WordPressのテーマ
WordPressプラグイン
独自PHPプログラム
外部システムとの連携
古いライブラリ
などが新しいPHPに対応しておらず、サイトの表示や機能に不具合が発生する場合があります。
企業サイトの場合は、いきなり本番サイトのPHPを切り替えるのではなく、
- バックアップを取得
ファイルとデータベースの両方をバックアップします。
- 現在のPHPバージョンを確認
どのPHP系列を利用しているか確認します。
- WordPress・テーマ・プラグインの対応状況を確認
更新後のPHPで正常に動作するか確認します。
- 可能であればテスト環境で更新
ステージング環境などで先に動作を確認します。
- 本番環境を更新
問題がないことを確認したうえで本番環境へ反映します。
- 更新後の動作確認
最低でも、
TOPページ
各主要ページ
お問い合わせフォーム
ログイン
管理画面
ファイルアップロード
ECサイトの場合はカート・決済
などを確認してください。
PHPのバージョンだけ確認して終わりではありません
今回を機に、企業サイトではPHP以外の環境も確認しておくことをおすすめします。
特にWordPressの場合、
WordPress本体
PHP
プラグイン
テーマ
Webサーバー
SSL
WAF
管理画面のアクセス制御
バックアップ
管理者アカウント
不要なプラグイン
サーバーへのアクセスログ
など、複数の要素によってサイトの安全性が決まります。
どこか1つだけ更新していれば安全というものではありません。
WordPress公式も「すぐにPHPを更新」と注意喚起
今回、WordPress公式がPHPの脆弱性について単独の記事を公開している点も注目する必要があります。
WordPress公式は、今回の脆弱性について深刻度が高いとして、サイト所有者にPHPをできるだけ早く更新するよう呼びかけています。
PHP公式も、
PHP-FPM、Apache + mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境
を対象として挙げています。
WordPressだけの問題ではありません。
Laravelなどで構築されたWebシステムや、独自PHPシステムを運用している企業も確認が必要です。
自社サイトについて最低限確認しておきたい5項目
今回の件を受けて、企業のWeb担当者の方には最低でも次の5項目を確認することをおすすめします。
① 自社サイトはPHPを利用しているか
WordPressやLaravelなど、多くのWebサイト・WebシステムでPHPが利用されています。
② PHPのバージョンはいくつか
WordPressの場合はサイトヘルスから確認できます。
③ 今回の脆弱性への修正が適用されているか
バージョン番号だけではなく、サーバー提供元の情報も確認します。
④ バックアップは取得されているか
PHP更新時だけでなく、不正アクセスや障害発生時の復旧にも必要です。
⑤ 緊急時の管理担当者は決まっているか
セキュリティ問題が発生してから、
「ホームページを作った会社と連絡が取れない」
「サーバーを誰が契約したか分からない」
「管理画面のログイン情報が分からない」
という企業は少なくありません。
Webサイトを会社の資産として管理するのであれば、技術だけでなく運用体制そのものを整えておく必要があります。
「ホームページを作って終わり」では危険な時代に
ホームページは一度制作すれば何年間もそのまま利用できるものではありません。
WordPressやPHP、サーバーなどは日々更新され、新しい脆弱性も発見されています。
今回のような重大なセキュリティ情報が公開された際に重要なのは、
「脆弱性が存在するかどうか」だけではなく、「発表されたときにすぐ確認して対応できる体制があるかどうか」です。
制作後も、
セキュリティ情報の確認
PHP・WordPressの更新
バックアップ
アクセスログ確認
障害対応
不正アクセス対策
を継続して行う必要があります。
PieceInnovationではWebサイトのセキュリティ・保守相談を承っています
株式会社PieceInnovationでは、愛知県岡崎市を拠点に、Webサイト制作、システム開発、運用保守、ITコンサルティングを行っています。
「自社サイトが今回の脆弱性の対象なのか分からない」
「PHPのバージョンを確認してほしい」
「WordPressが古いままになっている」
「制作会社と連絡が取れず、誰も管理していない」
「セキュリティ対策を一度見直したい」
といったご相談にも対応しております。
自社サイトの管理状況に不安がある企業様は、お気軽にお問い合わせください。
今回のPHP脆弱性への対応だけでなく、今後安心してWebサイトを運用できるよう、現在の構成・管理状況から整理いたします。