「WordPressは自動更新にしているから大丈夫」——そう考えているWebサイト運営者の方へ、緊急で確認したい情報です。

2026年10月21日、PHPに重大な脆弱性が公表されました。PHPはWordPressをはじめ、多くのWebサイトの裏側で動いているプログラミング言語です。今回の問題では、条件によっては、ログインしていない第三者がWebサーバー上で不正なプログラムを実行できる可能性があります。

今回の脆弱性のポイント

PHPプロジェクトは、次の2件の脆弱性を公表しました。

影響を受ける可能性があるのは、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webアクセスを処理するPHP環境です。攻撃が成立すると、サイト改ざん、フィッシングページの設置、顧客情報の流出、他システムへの侵入、検索エンジンでの評価低下などにつながる可能性があります。

影響を受けやすいサイト

次のようなサイトは、優先して確認してください。

• WordPressで制作・運用している企業サイト
• ECサイト、会員サイト、求人サイト
• 問い合わせフォームや資料請求フォームがあるサイト
• ファイル添付ができるフォームがあるサイト
• 予約システム、決済システム、外部サービスと連携しているサイト
• 複数のブランドサイト・店舗サイト・キャンペーンサイトを運営している企業

修正版のPHPバージョン

ご利用のPHP系統に応じ、次のバージョン以上へ更新してください。

PHP 8.1以前は通常サポートが終了しています。さらにPHP 8.2も2026年12月31日にサポート終了予定です。古いPHPを使い続けている場合は、今回の緊急対応とあわせて、サイトの改修・移行計画を立てるタイミングです。

今日やるべき3つのこと

1. サイトの管理先を確認する

サーバー会社、ドメイン管理会社、WordPressの制作会社・保守会社、管理画面にログインできる担当者、サイトごとのPHPバージョンを把握してください。「誰に聞けばよいかわからない」という状態こそ、サイト運用上のリスクです。

2. 制作会社・保守会社・サーバー会社へ連絡する

2026年10月21日に公表されたPHPの重大脆弱性（CVE-2026-109618、CVE-2026-109619）について、当社サイトへの影響と対応状況を確認したいです。 現在のPHPバージョン、修正版への更新可否・実施予定日、更新に伴う互換性確認およびバックアップの実施内容をご回答ください。 WordPress本体、テーマ、プラグインの更新状況もあわせて確認をお願いします。

3. 更新後のサイトを確認する

PHP更新後は、表示だけでなく、利用者の動線まで確認する必要があります。

• PC・スマートフォンで主要ページが表示されるか
• 問い合わせフォームを送信できるか
• 自動返信メール・管理者通知メールが届くか
• 商品購入・予約・会員ログインが正常に動くか
• 連携する外部サービスにエラーが出ていないか
• WordPress管理画面にログインできるか

「WordPressを更新した」だけで終わらせない

Webサイトの安全性は、WordPressだけで決まりません。サーバー・PHP、WordPress本体・テーマ・プラグイン、フォーム・権限・委託先などの運用がそろって初めて、基本的な運用が成立します。

特に、制作時から数年が経過しているサイト、制作会社との契約が終了しているサイト、担当者が異動・退職したサイトは注意が必要です。

更新がすぐに難しい場合

PHP公式は、修正版への更新が唯一の完全な対策であるとしています。すぐに更新できない場合は、保守会社・サーバー会社へ更新時期を確認し、不要なファイルアップロード機能の一時停止や、フォームの入力制限などを検討してください。ただし、こうした対応は一時的なリスク低減策であり、更新の代わりにはなりません。

まとめ：サイトの裏側も、ブランドの一部です

Webサイトは、企業や店舗の第一印象をつくる大切な接点です。一方で、見た目が問題なく表示されていても、サーバーやPHPが古いままでは見えないリスクを抱えることがあります。今回のPHP脆弱性を機に、サイトごとの管理台帳、更新責任者、保守連絡先、定期更新の仕組みを整えましょう。安全に運用できるWebサイトは、ブランドの信頼を守る土台になります。

※本記事は2026年10月23日時点の公開情報を基にした一般的な解説です。個別の環境への影響や具体的な作業は、サイト制作会社、保守会社、サーバー事業者へご確認ください。