2026年10月21日、PHPに見つかった2件の重大な脆弱性を修正する緊急アップデートが公開されました。
PHPはWordPressを動かすためにも使われているため、ブログやホームページを運営している方にとっても気になるニュースです。
「WordPressは非公開にした方がいい？」「自分のブログも危険なの？」「何をすればいいの？」と不安になっている方も多いのではないでしょうか。
今回の脆弱性は深刻度が非常に高く、影響を受けるPHPを使っている場合は、修正版への更新が必要です。
この記事では、2026年10月22日時点でわかっている情報をもとに、WordPressへの影響やサイトを非公開にすべきかどうか、レンタルサーバー利用者が確認しておきたい対策をわかりやすく紹介します。
PHPの脆弱性でWordPressは非公開にすべき？
結論からいうと、すべてのWordPressサイトを一律に非公開にする必要があるわけではありません。
大切なのは、利用しているPHPに今回の脆弱性への修正が適用されているかどうかです。
修正済みのPHPを使用しているなら、今回の脆弱性だけを理由にサイトを停止する必要性は低くなります。
一方、影響を受けるPHPを使い続けていて、すぐに修正できない場合は、サイトへの外部アクセスを一時的に遮断することも検討する必要があります。
記事を非公開にするだけでは対策にならない
WordPressの投稿を「非公開」にしたり、下書きに戻したりするだけでは、今回のPHPの脆弱性を解消できません。
なぜなら、記事を非公開にしても、WordPressやサーバー側でPHPが動き続けるためです。
メンテナンスモードを表示するプラグインも、PHPを使って画面を表示する仕組みであれば、根本的な対策にはなりません。
必要なのは記事の公開設定を変えることではなく、脆弱性のあるPHPを修正することです。
サイト全体の一時停止を検討するケース
修正版をすぐに適用できない場合は、サーバー側で外部からのアクセスを遮断する対策が選択肢になります。
たとえば、PHPの修正を適用できず、インターネット上に公開されたままの状態が続く場合です。
ただし、サーバー側の設定変更を誤ると、ブログの表示や管理画面へのアクセスに影響することもあります。
レンタルサーバーを利用している場合は、事業者が案内する方法を確認し、必要に応じてサポートへ相談しましょう。
PHPの脆弱性2026とは？WordPressへの影響を解説
今回問題となったのは、PHPというプログラミング言語そのものに見つかった脆弱性です。
WordPressだけの不具合ではなく、PHPを使うさまざまなWebサイトやサービスに影響する可能性があるため、世界的に注意が呼びかけられています。
緊急レベルの脆弱性2件が発見された
2026年10月21日に修正版が公開されたのは、次の2件の脆弱性です。
| 項目 | 内容 |
|---|---|
| 脆弱性① | CVE-2026-109618 |
| 脆弱性② | CVE-2026-109619 |
| 深刻度 | いずれもCVSS 9.2（緊急） |
| 修正版の公開日 | 2026年10月21日 |
| 主なリスク | 第三者による不正なプログラム実行など |
特に問題なのは、攻撃者がログインしていなくても、条件がそろうとサーバー上で不正なコードを実行できるおそれがあることです。
PHP公式も今回の問題を重大なものとして扱い、利用者へ修正版の速やかな適用を呼びかけています。
WordPressサイトが受ける可能性のある被害
攻撃が成功すると、サーバー上で不正なプログラムを実行される可能性があります。
その結果、サイトの改ざん、データの流出、不審なファイルの設置などにつながるおそれがあります。
ただし、今回の脆弱性が存在するからといって、すべてのWordPressサイトで実際に被害が発生しているわけではありません。
まずは慌てずに、自分が利用しているサーバーの修正状況を確認することが大切です。
すべてのWordPressサイトが危険なの？
WordPress自体が今回の脆弱性を持っているわけではありません。
問題になっているのは、WordPressの実行環境として使われるPHPです。
修正済みのPHPが適用されている環境と、未修正のPHPが動いている環境ではリスクが異なります。
また、サーバーの構成や事業者側の対策によっても状況は変わります。
「WordPressを使っている＝すでに攻撃された」という意味ではないので、利用環境を確認して適切に対応しましょう。
PHPの脆弱性への対策は？今すぐ確認したいこと
今回のPHPの脆弱性に対応するには、利用中のPHPバージョンと、修正が適用されているかを確認することが重要です。
利用中のPHPバージョンを確認する
WordPressの管理画面にログインできる場合は、次の手順でPHPのバージョンを確認できます。
- WordPress管理画面を開く
- 「ツール」から「サイトヘルス」を選択する
- 「情報」タブを開く
- 「サーバー」の項目を展開する
- PHPのバージョンを確認する
ただし、PHPのバージョン番号だけでは、サーバー会社が独自の修正パッチを適用しているか判断できない場合もあります。
必ず利用しているサーバー会社の案内とあわせて確認してください。
修正済みPHPへアップデートする
PHP公式は2026年10月21日、今回の脆弱性を修正したバージョンを公開しました。
| PHPの系列 | 修正済みバージョン |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
今回の脆弱性に対しては、これらの修正版、またはサーバー事業者が安全性を確認した修正適用済みのPHPを利用することが重要です。
PHP 8.1以前は公式の通常サポートが終了しており、今回の修正版もPHP公式からは提供されていません。
古いPHPを使っている場合は、サーバー会社の個別対応を確認し、サポート対象のバージョンへの移行を検討しましょう。
なお、PHPのバージョン変更によって、使用中のテーマやプラグインが正常に動かなくなる場合もあります。バックアップと互換性を確認したうえで作業してください。
レンタルサーバーの公式発表を確認する
レンタルサーバーを使ってWordPressを運営している場合、サーバー会社がPHPの修正を適用しているケースがあります。
そのため、自分でPHPを切り替える前に、まず事業者の公式なお知らせを確認しましょう。
確認したいのは、修正パッチの適用状況、対象となるPHPのバージョン、利用者自身の追加作業が必要かどうかの3点です。
更新できない場合はどうする？
修正版のPHPにすぐ切り替えられない場合は、サーバー会社の案内を確認し、外部からのアクセスを一時的に遮断することも検討してください。
ただし、ログイン画面を隠したり、WordPressの投稿を非公開にしたりするだけでは、今回の問題を根本的には防げません。
修正を適用できるまでの対応については、サーバーのサポートに相談すると安心です。
エックスサーバーのPHP脆弱性への対応状況は？
エックスサーバーでは、2026年10月21日から予防的な安全対策に伴い、公式サイトや管理画面などの一時停止が実施されました。
今回の対応は、エックスサーバー自身への不正アクセスが発生したことを意味するものではないと案内されています。
なお、管理画面が停止していても、利用者のWebサイトが通常どおり表示される場合があります。
Webサイトが表示されるかどうかと、PHPの修正が完了しているかどうかは、別々に確認する必要があります。
メンテナンスや管理画面停止の状況
2026年10月22日朝には、エックスサーバーがPHP 8.2〜8.5について対象サーバーへの修正パッチ適用を完了したと発表したことが報じられています。
一方、PHP 8.1以前の古いバージョンについては、別途修正パッチの準備や検証が進められていました。
管理画面の再開状況や古いPHPの対応状況は随時変わるため、利用時点で最新の公式発表を確認してください。
利用者自身でPHPを更新する必要はある？
必ずしも、全員が自分でPHPのバージョンを切り替える必要があるわけではありません。
サーバー側で今回の脆弱性に対応した修正パッチが適用されていれば、同じPHP系列のまま対策できる場合があります。
ただし、サポートが終了した古いPHPを使用している場合は、バージョンの移行が必要になることがあります。
管理画面が利用できるようになったら、現在のバージョンと公式のお知らせを照らし合わせ、追加の対応が必要か確認しましょう。
対策が完了したか確認する方法
まずはエックスサーバーの公式発表を確認します。
次に、WordPressの「サイトヘルス」やサーバーパネルで現在のPHPバージョンを確認しましょう。
サーバー側で修正版が適用されたことを確認できたら、ブログのトップページや記事ページ、管理画面などが正常に動作するかもチェックします。
なお、サイトが正常に表示されているだけでは、安全対策が完了した証明にはなりません。
PHPの脆弱性2026に関するよくある質問
ブログが正常に表示されていれば安全？
正常に表示されているだけでは、安全とは判断できません。
見た目に異常がなくても、脆弱性のあるPHPが動いている可能性はあります。
必ずPHPの修正状況を確認しましょう。
WordPressやプラグインの更新だけで対策できる？
いいえ。今回はPHPそのものに見つかった脆弱性なので、WordPress本体やプラグインを更新するだけでは解消できません。
もちろんWordPressやプラグインを最新の安全な状態に保つことも大切ですが、今回の問題にはPHP側の修正が必要です。
WordPressを非公開にするとSEOに影響する？
サイト全体を長期間公開停止にすると、Googleがページを取得できなくなり、検索結果への掲載に影響する可能性があります。
ただし、検索順位への影響を心配して、危険な状態のサイトを公開し続けることはおすすめできません。
安全上の理由で一時停止が必要な場合は、復旧を前提とした適切なサーバー側の対応を優先しましょう。
PHPの脆弱性はいつ修正された？
PHP公式は2026年10月21日、今回の2件の重大な脆弱性を修正したPHP 8.2.35、8.3.36、8.4.27、8.5.12を公開しました。
ただし、公式から修正版が公開されても、すべてのレンタルサーバーに同時に適用されるわけではありません。
実際に利用しているサーバーへの適用状況を確認することが重要です。
まとめ｜PHPの修正状況を確認して安全に運営しよう
2026年10月21日に公開されたPHPの緊急セキュリティーアップデートは、WordPressユーザーにとっても重要な内容です。
今回のポイントは、WordPressを一律に非公開にすることではなく、利用しているPHPに必要な修正が適用されているかを確認することです。
レンタルサーバーを使っている場合は、公式のお知らせを確認し、必要なときだけ追加の設定変更や更新を行いましょう。
修正版の適用状況が確認できない場合は、サーバー会社に相談し、安全を優先して対応してください。
今回のようなニュースをきっかけに、PHPだけでなくWordPress本体やプラグイン、バックアップの管理も見直しておくと安心ですね。
