【緊急】PHP の重大な脆弱性（CVE-2026-109618 / 109619）。WordPress や業務システムを使っている会社が今すぐ確認すべきこと

この記事は 2026年10月27日時点の情報です。 状況は日々変わるため、最新の情報は PHP 公式サイトと IPA・JPCERT/CC の注意喚起をあわせてご確認ください。

2026年10月21日（日本時間の夜）、PHP の開発元が重大な脆弱性 2 件を修正したバージョンを公開しました。問題の深刻度は最高レベル（CVSS v4.0 で 9.2）で、ログインなしで外部からサーバー上で任意のプログラムを実行されるおそれがあります。公開直後から実際の攻撃が観測されており、米国 CISA の「悪用が確認された脆弱性」の一覧にも 10月26日に追加されました。日本でも 10月22日に IPA と JPCERT/CC が注意喚起を出しています。

WordPress で作ったホームページ、EC-CUBE などの EC サイト、Laravel などで作った業務システムは、ほぼすべて PHP で動いています。「ホームページを作ってもらったきりで、PHP が何かもわからない」という会社ほど影響を受けやすいので、この記事では確認すべきことを順番にまとめます。

何が起きているのか

対象: PHP 本体の脆弱性 2 件。CVE-2026-109618 と CVE-2026-109619（あわせて「php2shell」と呼ばれています）
影響: 認証なしのリモートコード実行。攻撃者がサーバーの中で好きなプログラムを動かせるため、サイトの改ざん、個人情報の流出、別の攻撃の踏み台にされるなどの被害につながります
影響を受ける動かし方: PHP-FPM、Apache のモジュール版（mod_php）、php-cgi、FrankenPHP、LiteSpeed など、一般的なレンタルサーバーや VPS で使われている方式が含まれます
修正版: PHP 8.5.12、8.4.27、8.3.36、8.2.35。これより前のバージョンは影響を受けます
サポートが終了している PHP 8.1 以前（7.4・8.0・8.1）: 開発元からの正式な修正版はありません。一部の配布元（Ubuntu/Debian 向けのパッケージ提供者など）が独自に修正を取り込んだ版を出しています
10月23日の追加情報: セッションの特定の設定とアプリケーションの処理が組み合わさった場合に、同様にリモートコード実行につながるおそれのある別の問題（CVE-2026-115560）も告知されました。次の修正版が出るまでの対策が案内されています

WordPress 本体は今回の問題の原因ではないため、WordPress 側の更新は不要です。直すべきなのはサーバーの PHP のバージョンです。

今すぐ確認すべき 5 つのこと

1. 自社のサイトが PHP で動いているか

WordPress、EC-CUBE、Laravel、CakePHP、Movable Type（PHP 版）で作られたサイトは PHP で動いています。制作会社から「WordPress で作りました」と聞いている場合は、まず該当すると考えてください。

2. PHP のバージョンは何か

確認する場所は、サイトを置いているサーバーによって違います。

レンタルサーバー（Xserver、さくら、ロリポップ、ConoHa WING など）: サーバーの管理画面に「PHP バージョン設定」「PHP Ver.切替」のようなメニューがあります。ドメインごとに設定されているので、運用しているサイトすべてを確認してください
WordPress の管理画面: 「ツール > サイトヘルス > 情報 > サーバー」に PHP のバージョンが表示されます
VPS・自社サーバー: php -v で確認できます。サーバーを管理している会社や担当者に確認してください

表示されたバージョンが 8.5.12、8.4.27、8.3.36、8.2.35 以上なら修正済みです。それより前なら更新が必要です。

3. レンタルサーバーの会社から案内が来ていないか

主要なレンタルサーバーは、修正版の提供や自動更新の案内をメールやお知らせページで出しています。サーバー会社側で修正を適用済みの場合、表示されるバージョン番号が変わらないまま修正だけが取り込まれていることもあります（cPanel 系のサーバーなど）。案内の内容を必ず確認してください。

4. 更新できるならすぐに更新する

レンタルサーバーなら、管理画面で修正版のバージョンに切り替えるだけです。ただし、古い PHP（7.4 や 8.0）で動いているサイトをいきなり 8.3 や 8.4 に上げると、サイトが表示されなくなることがあります（古いテーマやプラグインが新しい PHP に対応していないため）。事前にバックアップを取り、切り替え後にトップページ・お問い合わせフォーム・管理画面が動くかを確認してください。表示が崩れた場合は、いったん元のバージョンに戻せます。

5. 更新できない場合は、暫定の対策と移行の計画を

PHP 8.1 以前で動いていて、更新するとサイトが壊れる。このケースがいちばん危険です。

セッションの設定 session.upload_progress.enabled を無効にすると、2 件のうち 1 件の攻撃経路をふさげます。ただし、もう 1 件には安全な回避策がなく、修正版への更新以外に根本的な対策はありません
サーバー会社や OS の配布元が、古い PHP 向けに修正を取り込んだ版を出している場合は、それを適用します
根本的には、サポートされている PHP（8.3 以上）で動くようにサイトを改修するか、作り直す必要があります。PHP 8.2 も 2026年12月末でサポートが終わるため、これを機に 8.3 以上へ移行するのが現実的です

「もう攻撃されているかもしれない」と思ったら

公開前に情報が漏れていたため、修正版が出る前から攻撃が行われていた可能性があります。次のような兆候がないか確認してください。

見覚えのないファイルがサーバーに増えている（特に .php ファイル）
サイトを開くと別のサイトに飛ばされる、検索結果に身に覚えのないページが出る
WordPress の管理者ユーザーが増えている
サーバーの負荷や送信メールの量が急に増えた

心当たりがある場合は、PHP の更新だけでは不十分です。改ざんされたファイルの除去、管理者パスワードと API キーの変更、必要に応じて個人情報の漏えいの有無の確認が必要になります。

当社でお手伝いできること

株式会社Esolab は大阪市中央区の WEB 制作会社で、WordPress のサイト制作から PHP での業務システム開発、サーバーの構築・運用まで行っています。今回の件について、次のサポートを承っています。

現状の確認: 運用中のサイトの PHP のバージョンとサーバーの状況を確認し、更新が必要かどうか、更新しても問題が出ないかをお伝えします
PHP の更新作業の代行: バックアップを取ったうえで修正版へ切り替え、サイトの表示・フォーム・管理画面の動作を確認します
古い PHP で動いているサイトの改修・移行: テーマやプラグインの対応、サポートされている PHP への移行、必要に応じたサイトの作り直し（WEB制作・システム開発）
攻撃の痕跡の確認と復旧: 改ざんの有無の確認、不要なファイルの除去、パスワードやキーの変更

「制作会社と連絡が取れない」「社内に詳しい人がいない」という場合も、まずは状況をお知らせください。確認の方法のご案内から、作業が必要な場合はお見積もりまで対応します。お問い合わせフォームから、サイトの URL と、わかる範囲でサーバーの種類（レンタルサーバー名など）をお書き添えください。

まとめ

2026年10月21日に PHP の重大な脆弱性 2 件（CVE-2026-109618・109619）の修正版が公開され、実際の攻撃も確認されています
WordPress などで作ったサイトは PHP で動いています。サーバーの PHP が 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上かを確認し、古ければすぐ更新してください
PHP 8.1 以前は正式な修正版がありません。暫定対策をしたうえで、サポートされている PHP への移行を計画してください
自社で判断できない場合は、お問い合わせからご相談ください。確認から更新・改修・復旧まで対応します