PHPの脆弱性、自社サイトは大丈夫？WordPress担当者が確認すべきこと

PHPの脆弱性が報じられたら、まず何を確認する？

PHPの重大な脆弱性が報じられたとき、サイト担当者がまず確認したいのは「自社サイトがPHPを使っているか」「利用環境に修正が適用されているか」「対応後も必要な機能が動くか」の3点です。

レンタルサーバーを使っていても、サーバー会社の告知を読むだけで確認が終わるとは限りません。契約しているサービス、選択中のPHP、利用者側に必要な操作を確認し、自社サイトの状態と結び付けて判断しましょう。

この記事では、2026年10月のPHP緊急修正を踏まえ、技術専任者がいない企業でも進められる確認手順を整理します。サイトが普段どおり表示されていることと、脆弱性への対策が済んでいることは、分けて確認する必要があります。

2026年10月に公表されたPHPの脆弱性と修正版

PHP公式は2026年10月21日、認証なしの遠隔コード実行につながる可能性がある2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619の修正を公表しました。Webリクエストを処理するPHP環境が確認対象です。

今回の修正を含む公式リリースは次のとおりです。

これは2026年10月22日時点で確認した今回の修正版です。今後の更新では、各系列の新しい修正版と提供元の案内を確認してください。

PHP公式は、設定による緩和だけでは完全な解決にならず、更新が必要だと説明しています。PHP 8.1以前を利用中の場合は、提供元の延長サポート・修正提供の有無を確認し、サポートされる系列への移行も検討してください。また、提供元が修正を取り込む「バックポート」を行う場合もあるため、表示された版番号だけで未対応と断定せず、提供元に適用状況を確認する必要があります。

出典: PHP公式のセキュリティ勧告・修正版案内

WordPressを更新すれば、PHPの対策も完了する？

WordPressの本体・テーマ・プラグインと、それらを動かすPHPは、更新対象が異なります。WordPressの更新状況とPHPの修正適用状況は、それぞれ確認しましょう。

たとえば「WordPressは最新です」という表示だけでは、今回のPHPの修正が適用されたかを判断できません。サイト担当者は、WordPress側の更新確認に加えて、サーバー管理画面や提供元の回答からPHP側の状態を確認する、という進め方が必要です。

WordPress公式も、PHPの更新前にバックアップ、WordPress・テーマ・プラグインの状態、互換性を確認する流れを案内しています。PHPの更新作業については、WordPress公式のPHP更新案内も参照してください。

自社サイトのPHP環境を確認する手順

1. サーバーの契約先と管理担当を確認する

まず、サーバーの契約先・サービス名・管理画面に入れる担当者を確認します。ドメインの契約先と、サイトを動かしているサーバーの契約先が異なる場合もあるため、請求書や引き継ぎ資料で照合すると整理しやすくなります。

複数のサイトがある場合は、企業サイト、採用サイト、ECサイトなどを分けて一覧にしてください。同じ会社が運営していても、サイトごとにサーバーや保守担当が違うことがあります。

2. 実際に使っているPHPのバージョンを確認する

WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPバージョンを確認できます。サーバー管理画面のPHP設定と合わせて、対象ドメインで使われている環境を確かめましょう。

出典: WordPress公式「サイトヘルス画面」

管理画面に入れない場合は、権限を持つ担当者や保守会社に確認を依頼します。確認のために、PHPの詳細情報を誰でも見られるページへ公開する必要はありません。

3. サーバー会社の告知を自社環境と照合する

告知で確認したいのは「何らかのメンテナンスが終わったか」だけではありません。今回の脆弱性を対象とする修正か、自社の契約サービス・収容サーバー・PHP系列が含まれるか、利用者側の操作が必要かを確認します。

対象が読み取れないときは、サポートへ次の内容をまとめて問い合わせると確認を進めやすくなります。

契約中のサーバーで運用している［対象ドメイン］について、PHPの脆弱性CVE-2026-109618／CVE-2026-109619への対応状況を確認したく、ご連絡しました。

対象環境への修正適用の有無、未適用の場合の対応予定、利用者側で必要な操作をご教示ください。バックポートで対応されている場合は、その旨もお知らせいただけますと幸いです。

レンタルサーバー会社の対応を待っていればいい？

サーバー会社がPHP環境を管理するサービスでは、提供元の修正作業が対応の中心になる場合があります。ただし、利用者側で必要な確認は残ります。

役割分担は、次のように整理すると確認漏れを減らせます。実際の担当範囲は契約によって確認してください。

VPSやクラウドなど、利用者側がOSやPHPを管理する契約では、自社または委託先で修正を適用する作業が必要なこともあります。「同じサーバー会社だから対応方法も同じ」と考えず、サービスと管理範囲を確認しましょう。

PHP更新後は、問い合わせや購入まで確認する

PHPのバージョンを切り替える場合は、バックアップと復旧方法を確保し、可能なら検証環境で互換性を確認してから本番へ反映します。緊急性がある場合も、提供元・保守担当と更新方法を調整し、未対応のまま放置しない進め方を決めましょう。

更新後の確認では、トップページを開くだけで終わらせず、事業上重要な動作を選びます。

• 企業サイト: 主要ページの表示、問い合わせの入力・送信、通知メールの到着
• WordPress: 管理画面へのログイン、記事編集、画像アップロード
• ECサイト: 商品表示、カート、注文、決済連携、注文メール
• 外部連携: 予約システム、会員機能など、実際に利用している機能

問い合わせのテストは関係者に共有し、ECの注文・決済はテスト環境や事前に合意した方法で行ってください。確認した日時・対象・結果を記録しておくと、「サーバー修正済み」と「サイト動作確認済み」を分けて説明できます。

もし不審な管理者アカウントや身に覚えのない改変が見つかった場合は、保守会社・サーバー会社へ連絡してください。更新の完了と、すでに被害が生じていないかの調査は別の作業です。

よくある質問

サイトが正常に表示されていれば問題ありませんか？

正常表示だけでは、修正が適用されているかは分かりません。PHPの実行環境と、提供元の修正適用状況を確認してください。

WordPressに警告が出ていなければ対応不要ですか？

管理画面の表示だけで今回の修正適用を判断せず、PHPの状態と提供元の案内を照合してください。確認できない場合は、未確認として担当者へ問い合わせましょう。

制作会社に何を伝えればよいですか？

サイトURL、サーバーの契約先、分かる範囲のPHPバージョン、提供元から届いた通知、保守契約の有無をまとめると相談が進みやすくなります。パスワードや認証アプリのQRコードは、問い合わせフォームへ記載しないでください。

管理画面にログインできない場合はどうしますか？

契約者や認証手段を管理している担当者に協力を依頼します。今回の確認に加えて、今後も緊急時に確認できるよう、契約情報・管理担当・連絡手順を整理しておきましょう。

サイトの安全確認を、公開後の運用体制の見直しへ

今回のようなニュースをきっかけに確認してみると、「誰がサーバーを管理しているか分からない」「更新後のテスト担当がいない」といった運用上の課題が見つかることもあります。

ホームページやECサイトを制作・リニューアルする際は、デザインや機能に加えて、公開後の更新担当、バックアップ、障害時の連絡先、問い合わせや購入の確認方法まで決めておくことが大切です。

株式会社レジットでは、ホームページ・ECサイトの制作やWordPress保守についてのご相談を受け付けています。「現在のサイトの管理状況を整理したい」「制作・リニューアルに合わせて運用も見直したい」という方は、お問い合わせフォームから、サイトURLとお困りの内容をお知らせください。具体的な対応範囲は、ご利用環境と契約内容を確認したうえでご案内します。

本記事は2026年10月22日時点の公開情報に基づきます。更新作業の際は、PHP公式とご利用のサーバー会社による最新情報を確認してください。