PHP公式は2026年10月21日付で、重大な脆弱性2件を修正するセキュリティリリースを発表しました。PHPは、WordPressなどのウェブサイトをサーバー上で動かすために使われるソフトウェアです。サイトの運営者は、利用中のPHPと、サーバー会社の対応状況を確認する必要があります。
脆弱性の内容
今回の識別番号はCVE-2026-109618とCVE-2026-109619です。どちらも深刻度はCVSS v4.0で9.2。条件がそろうと、ログインしていない外部の相手が、サーバー上で不正なプログラムを動かせるおそれがあります。ただし、攻撃が成立する条件はサーバーの構成や設定などで異なります。この発表だけで、自分のサイトがすでに侵入されたと判断することはできません。
修正版と更新時の注意点
公式が示す修正版は次の4つです。
| PHPの系列 | 今回の修正版 |
|---|---|
| 8.2系 | 8.2.35 |
| 8.3系 | 8.3.36 |
| 8.4系 | 8.4.27 |
| 8.5系 | 8.5.12 |
「PHP 8.3を使っているから大丈夫」ではなく、末尾の数字まで確認してください。ただし、提供元が修正を独自に取り込んでいる場合もあります。表示される番号だけで判断せず、今回の2件に対する修正が適用されたかを確認することが大切です。設定変更による一時的な緩和策は、更新に代わる完全な対策ではありません。
PHP 7.4の公式サポートは2022年11月28日に終了しています。今回、旧版向けの限定的な修正も案内されていますが、通常のサポートが再開されたわけではありません。古い版を利用している場合も、提供元の対応確認と、サポート中の版への移行の相談が必要です。
WordPress利用者が確認すること
WordPress本体やプラグインを最新版にしても、サーバー側のPHPまで更新されたとは限りません。WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」からPHPのバージョンを確認できます。変更方法や利用できる版は、契約しているサーバー会社によって異なります。
まずは次の順番で確認しましょう。
- 利用中のPHPのバージョンと、契約中のサーバー会社の公式告知を確認する。
- 自分の契約が修正済みか、利用者による作業が必要かを確かめる。不明なら、今回のCVE番号を添えて問い合わせる。
- 自分で更新する場合はバックアップと対応状況を確認し、更新後に表示・問い合わせフォーム・購入手続きなどを試す。
PHPの系列を変える場合は、テーマやプラグインとの互換性も確認が必要です。修正の適用を急ぎつつ、誰が更新するか、適用は完了したか、更新後もサイトが使えるかを確認しましょう。