まず確認するのはサーバー会社の対応
PHP公式は2026年10月21日、重大な脆弱性2件を修正したPHP 8.2.35、8.3.36、8.4.27、8.5.12を公開しました。
識別番号はCVE-2026-109618とCVE-2026-109619で、php2shellと呼ばれています。
認証なしで外部からコードを実行されるおそれがあるため、修正版への更新が勧められています。
共用レンタルサーバーでは、PHP自体の修正はサーバー会社が行う場合があります。管理画面の「8.3」などの表示だけでは、修正が適用されたか判断できません。
利用中のサーバーとPHPの系列が、公式のお知らせの対象に入っているかを確認します。
PHP公式は、古い系列でも提供元が修正を取り込む場合があると案内しています。番号だけで安全・危険を決めず、契約先に修正の適用状況を尋ねてください。
自分で管理するサーバーの場合は、構築・保守の担当者へ連絡します。
今日確認する5項目
最初は設定を変えず、分かる範囲を記録します。次の表は、サーバー会社や制作担当者へ状況を伝えるための確認表です。
チェックが埋まったことだけで、侵入されていないと証明できるわけではありません。
| 確認すること | 見る場所 | 残す内容 |
|---|---|---|
| 1 サーバー会社の対応 | 契約先の公式お知らせ・管理画面 | 対象サーバー、対応日時、利用者側の作業 |
| 2 利用中のPHP | ドメイン別設定・WordPressのサイトヘルス | 表示された版、確認日、提供元の回答 |
| 3 WordPress本体・プラグイン・テーマ | ダッシュボードの更新画面・一覧 | 版と更新通知、使っている機能 |
| 4 管理者ユーザー | ユーザー一覧と制作担当者の情報 | 管理者の人数、心当たりのない変更 |
| 5 公開ページ | 普段使うサイトURL | 見知らぬ内容・転送・警告と発見日時 |
管理画面が開かない項目は「不明」として残して構いません。分からないまま「対応済み」にせず、サーバー会社か制作担当者に対象項目を絞って尋ねます。
WordPressの更新完了だけではPHPの確認は終わらない
WordPressに「最新」と表示されても、PHPの修正確認は別に必要です。
WordPressは、記事や画像を管理する仕組みです。PHPはそれをサーバーで動かす土台に当たります。
WordPressの更新画面に「最新」と表示されても、PHPの修正状況は別に確認します。
PHP公式が挙げる今回の修正バージョンは次のとおりです。これは2026年10月22日に確認した一覧です。
適用するときは公式の最新情報と契約先の案内を読み、必要なら同じ系列の後続修正版も確認してください。
| PHPの系列 | 今回の公式修正版 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
「ツール → サイトヘルス → 情報」にはサーバーやプラグインなどの情報があります。
必要な項目だけ読み取り、他人に送る際はアカウント名やメールアドレスなどを隠します。サイトヘルスの情報を丸ごと公開する必要はありません。
更新する前に戻し方と確認する機能を決める
WordPress公式は、更新前のバックアップを案内しています。
担当者に任せる場合は、バックアップの取得日時と保存先、問題が起きたときに誰が復元するかを先に確かめましょう。ファイルとデータベースの両方を扱う必要があります。
PHPの系列を切り替えると、古いテーマやプラグインとの組み合わせで不具合が起きることがあります。
「一番新しい番号へ変える」ことだけを目標にせず、提供元の対応案内とサイトの機能を照合します。急ぐ場合も、更新担当者へ必要な機能を伝えてください。
更新後にはトップページだけでなく、サービス紹介、問い合わせ、予約や購入など普段使う経路も確かめます。
テスト送信は自分が管理する宛先で行い、画面に完了表示が出ることと、受信箱に届くことを分けて確認します。
知らない管理者や転送があったら先に相談する
これは次の行動を決める図です。見た目が正常でも、侵害がないことの証明にはなりません。
管理者一覧の見覚えのない名前は、以前の制作会社のアカウントかもしれません。
本人や担当者に確認し、心当たりのない変更なら、発見日時と画面を記録してサーバー会社へ連絡します。
公開ページが勝手に別のサイトへ移る、見知らぬ文章がある、警告が表示される場合も同様です。
これは確認を急ぐ目安であり、スクリーンショットだけで原因を特定するものではありません。
怪しいページの案内に従ってログイン情報を入力せず、普段利用している窓口から相談してください。
更新で脆弱性が修正されても、過去の侵害や不正な変更まで自動で取り除かれたとは限りません。サーバー会社や復旧を扱う専門業者に、記録の保全と公開状態について相談します。
Web準備室では、侵害後の調査・復旧は受け付けていません。
分からないときはこの内容をサーバー会社へ伝える
問い合わせは「安全ですか」だけでなく、対象ドメインとPHPの表示、確認したい脆弱性を具体的にすると、必要な回答を受け取りやすくなります。
次の文を、ご自身の契約先への問い合わせに使えます。
- 対象ドメイン：［自分のドメイン］。管理画面のPHP表示：［表示どおり／不明］。
- CVE-2026-109618、CVE-2026-109619の修正は、この環境に適用されていますか。
- 適用済みの場合は、対象のPHP系列と適用日時を教えてください。利用者側の切り替えや再起動など、追加の作業はありますか。
- 未対応の場合は、対応予定と、対応までの間に利用者が取るべき措置を教えてください。
契約番号などは契約先の指定する窓口で必要に応じて伝えます。第三者へ相談するために、この問い合わせと一緒に管理画面のパスワードを渡す必要はありません。
更新して使い続けるか移行するかはその後に決める
今回の更新対応と、今後どんなサイトを使うかは分けて考えます。修正が必要な環境を、移行の完成までそのまま放置しないことが先です。
予約、購入、会員向けの機能を使っているなら、今のWordPressを保守しながら使う選択肢があります。
会社案内や営業時間の掲載が中心なら、静的サイトへ作り直す案も比較できます。
PHPを使わない構成に変えると、その公開部分でPHPを動かす必要がなくなります。ただし、フォーム、メール、ドメインの管理や、更新に使うサービスの保守は残ります。
CloudflareにDNSを移しただけで、移行前のWordPressやPHPがなくなるわけではありません。
見積もりでは、移すページ、残す機能、URLの引き継ぎ、メールの扱い、公開後の更新担当を確認します。
Web準備室では、既存のネットショップ・会員サイト・予約システムの移行を初期の受付対象から外しています。
確認した内容を整理するのが難しい方へ
Web準備室の運営者である合同会社とむは、WordPressの状態確認サービスを5,000円（税込）で提供しています。
スクリーンショットと公開ページの範囲で、更新状況と次に確認することを報告書にまとめます。パスワードはお預かりしません。
スクリーンショットによる確認は、サーバー内部を調べる脆弱性検査や、侵害がないことを証明するものではありません。
不明な項目を含めて整理し、サーバー会社へ確認すべきことをお伝えします。更新や移行が必要な場合の作業は別途のお見積もりです。
相談時はサイトURL、サーバー会社名、困っていることをお知らせください。初回のメールにパスワードや顧客一覧は添付しないでください。
費用と受付範囲はサービスページで確認できます。