PHPは、WordPressを動かすサーバー側の土台
WordPressは、記事を管理してページを作る仕組み。そのプログラムをサーバーで動かすためにPHPを使います。
訪問者が自分のスマホにPHPをインストールする話ではありません。
「WordPressの更新」と「PHPの更新」は別の作業です。
制作担当者がWordPressを更新していても、PHPの修正はサーバー会社やサーバー管理担当者への確認が必要です。
ログイン前の通信から、不正な処理を動かされるおそれ
細工された通信が届く
エラー時などに状態が崩れる
PHPの実行権限で動くおそれ
起こり得る影響を示した図で、すべてのサイトに被害が発生したという意味ではありません。
PHPで通信を処理するときの、メモリの扱いに問題が見つかりました。メモリは処理中のデータを一時的に置く場所です。
異常終了などの際に、その状態を正しく扱えないことが原因になります。
悪用されると、外部の人がログインせずに、PHPの実行権限で不正なコードを動かす可能性があります。「RCE（遠隔からのコード実行）」とは、このような問題の呼び方です。
その権限で読み書きできる情報や設定によっては、情報の読み取りやサイトの書き換えにつながるおそれがあります。
ただし、脆弱性の対象であることと、すでに被害を受けたことは別です。
WordPress以外でも、PHPを使う公開機能を確認する
PHP公式は、Webからの通信を処理するPHPの各実行方式を確認対象に挙げています。WordPressだけの問題でも、特定のプラグインだけの問題でもありません。
PHP-FPMやApacheのmod_phpなど、PHPの実行方式で悪用条件は変わります。「この方式だから対象外」と自己判断せず、提供元の案内で確認します。
| サイトの作り | 確認すること |
|---|---|
| WordPressを利用 | 利用中のPHPに修正が適用されているか |
| 独自のPHPサイト・フォーム | その機能を動かすPHPと管理担当者 |
| HTML中心のサイト | フォーム・管理画面・旧サイト側にPHPが残っていないか |
| 作り方が分からない | 契約先・制作担当者にPHP利用と修正状況を質問 |
修正版は公開済み。適用済みかは契約先で確認
PHP公式は2026年10月21日に、CVE-2026-109618・CVE-2026-109619を修正する以下の版を公開しました。
これらの問題は「php2shell」と呼ばれています。
| PHPの系列 | 10月21日の公式修正版 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
配布元が、以前の番号のパッケージに修正を取り込む場合もあります。たとえばUbuntuは独自の修正済みパッケージ番号を案内しています。
画面の数字だけで判定せず、今回の2件への適用状況を確認します。
更新したファイルを、稼働中の処理へ反映する再起動などが必要な環境もあります。共用サーバーでは提供元の案内に従い、利用者側に追加作業があるかを確かめます。
PHP 8.1以前は、PHPプロジェクトの通常サポートが終了しています。今回の例外的な修正や配布元の対応が、継続サポートの復活を意味するわけではありません。
「パスワード変更だけ」「表示が正常だから大丈夫」は別の話
- パスワード変更：認証前に起こり得るPHPの問題を、これだけで修正することはできません。
- WordPressの更新：必要な保守ですが、PHP本体の修正確認も別に必要です。
- WAFや一時的な設定変更：更新の代わりに対策完了とは扱いません。PHP公式も、暫定策では完全に解決しないとしています。
- 見た目が正常：不正な処理や変更がなかった証拠にはなりません。
- 静的サイトへの移行：今後の構成を考える選択肢。移行を待つ間に、現在のPHPへの対応を後回しにしないでください。
今やることは、修正確認と異常の確認を分ける
サーバー会社・管理担当へ
2件への適用と、稼働中の環境への反映を確認日時・画面・症状を残す
サーバー会社や侵害対応の専門窓口へ修正済みという回答だけで、過去の侵害がなかったとは判断できません。
「修正が適用されたか」と「過去に不正な変更がなかったか」は、別の確認です。更新だけで、すでに置かれた不正なファイルなどが自動で消えるとは限りません。
まずサーバー会社の公式案内を確認し、自分の契約環境に適用済みかを問い合わせます。
見覚えのない画面・転送・管理者があれば、日時と症状を記録して制作担当者やサーバー会社へ相談してください。
構成が分からない場合は、確認先の整理から
契約先・制作担当者・ドメインごとの管理者が分かると、確認を進めやすくなります。最初の相談では、サイトURLと分かる範囲の契約情報を用意してください。
Web準備室の状態確認は、スクリーンショットと公開ページから次の確認事項を整理する有料サービスです。サーバー内部の脆弱性検査や、侵害後の調査・復旧は受付対象外です。