PHPの脆弱性、自社サイトは更新が必要？確認方法とアップデートの進め方

情報確認日：2026年11月10日。PHPの修正情報は追加されることがあります。更新作業の時点では、公式案内と利用中のサーバー会社の通知を照合してください。

最近のPHP脆弱性で、何を確認すべきか

自社サイトでPHPを使っている場合は、実際に動いている環境に修正が適用されているかを確認する必要があります。「サイトが正常に見える」「WordPressの更新通知がない」だけでは判断できません。

2026年10月21日、PHPはCVE-2026-109618とCVE-2026-109619に対応する修正版を公開しました。条件によっては、ログインしていない攻撃者がサーバー上でコードを実行できる重大な問題です。PHP Foundationは、PHP 8.5.12・8.4.27・8.3.36・8.2.35での修正を案内しています。PHP Foundationの発表

その後、10月23日には特定の設定と処理の組み合わせに関する追加案内、10月26日にはWindows配布パッケージの依存ライブラリ修正が出ています。上記の番号への更新だけで、すべての環境の対応が完了したとは限りません。PHP公式の2026年告知一覧

WordPress本体の更新とPHPの更新は別の作業

WordPressは記事やページを管理するソフトウェア、PHPはその処理を動かす土台です。テーマやプラグインも別に存在します。それぞれ更新の窓口と確認項目が異なります。

この表は確認の出発点です。マネージドサービスなどでは、複数の対象を提供会社が管理していることもあります。

自社サイトが影響を受けるか確認する

最初に集めたいのは、対象URL、サーバー会社、PHPの利用状況、修正状況の4点です。分からない項目は、管理会社への質問として残します。

WordPressでは「ツール」の「サイトヘルス」にある情報や、サーバー管理画面が確認の手がかりになります。ただし、複数のサイトや実行環境がある場合、画面で確認した情報がどのサイトを指すかも確かめてください。

バージョン番号だけで判断しない

OSの配布元や長期サポート事業者が、古い系列へ修正を取り込む「バックポート」を提供する場合があります。表示番号だけでは判断できないため、利用しているパッケージの修正履歴や提供会社の回答も確認します。PHP公式の更新案内

管理会社への問い合わせは、次の形にすると話が進みやすくなります。

• 対象URLで使用しているPHPの系列と実行環境を教えてください。
• CVE-2026-109618・CVE-2026-109619と、その後の追加案内への対応状況を教えてください。
• サーバー側で行う作業と、サイト側で必要な検証を分けて教えてください。
• 未対応の場合、対応予定と、それまでに必要な措置を教えてください。

契約先や管理者が不明なら、サーバー・ドメインの契約と引き継ぎのチェックリストから整理できます。確認先を探すところから相談したい場合は、PHP更新についてのお問い合わせをご利用ください。

すぐに対処する更新と、計画的な移行を分ける

現在判明している問題への修正と、今後も更新を受け取れる環境への移行は、分けて計画します。移行に時間がかかることを理由に、目の前の脆弱性対応を後回しにしないことが大切です。

PHP本家のサポート表では、PHP 8.2のセキュリティサポートは2026年12月31日までです。8.2を使っている場合、今回の修正確認と合わせて、次の環境への移行予定を決める必要があります。PHPのサポート期間

たとえば「古いプラグインがあり、そのままではPHPの系列を上げられない」なら、対象の洗い出し、置き換え候補、改修範囲を先に確認します。修正済みの環境へ移すまでの対応は、サーバー管理者と決めます。

WAFやアクセス制限などの措置を行う場合も、それだけで更新不要とは扱いません。今回の問題についてPHP公式は、暫定措置が防げる経路には限りがあると説明しています。公開範囲の縮小や一時停止が必要かも含め、管理者へ判断を依頼してください。PHP公式のセキュリティ告知

アップデートは、バックアップと動作確認まで行う

更新作業の完了は、管理画面の番号が変わった時点ではありません。お客様や担当者が、必要な操作を行えることまで確かめるのが実務上の区切りです。

更新前に準備すること

1. 更新対象と、影響しそうなテーマ・プラグイン・独自機能を一覧にする。
2. データベースとファイルのバックアップを取得し、復元方法と担当者を確認する。
3. 検証環境で、更新前と更新後の動きを比較する。
4. 本番作業の時間、注文・問い合わせの扱い、問題が出た場合の連絡方法を決める。

バックアップについては、取得できていることに加え、必要なデータが含まれ、復元できることが重要です。WordPress公式も更新前のバックアップを案内しています。WordPressの更新手順

見た目以外に確認したい操作

次の表は、検証項目を決めるための例です。自社の業務に合わせて、使っていない機能を外し、独自機能を追加してください。

検証用のメールや注文が実際の顧客に送られないように、テスト環境・データも準備します。本番反映後は同じ項目を再確認し、実施日、変更点、残った課題を記録します。

問題が起きたとき、更新前へ戻すと脆弱性も戻る場合があります。復元手順だけでなく、戻した後の公開範囲と修正計画もセットで決めておきます。

サーバー会社と制作会社、誰にどこまで頼めるか

依頼時には、PHPの切り替え作業だけでなく、互換性の確認と業務テストを誰が担当するかまで揃えます。次は役割分担を決めるためのたたき台です。

「サーバー会社が対応済みと言っているが、フォームまで確認しているか分からない」といった相談でも構いません。契約の範囲と対象サイトを確認したうえで、必要な作業を整理します。

PHP更新についてよくある質問

自動更新が有効なら、何もしなくてよいですか？

自動更新がどの対象に適用されるかを確認してください。WordPress本体の自動更新と、サーバー側のPHP更新は同じではありません。更新の結果と、フォームや決済への影響を確認する担当も必要です。

古いサイトや、他社が制作したサイトでも相談できますか？

まずはURLと現在の管理状況をお知らせください。利用技術や権限、独自機能を確認し、対応可能な範囲と調査が必要な点をお伝えします。管理情報が揃っていなければ、把握している範囲から整理します。

費用を見積もるために、何が必要ですか？

対象URL、サーバー会社、分かる範囲のバージョン、ECや会員機能の有無、希望時期があると整理しやすくなります。問い合わせフォームにパスワードや秘密鍵を記載する必要はありません。