PHP 8.2〜8.5向けの修正版が公開されました。自分でPHPを管理している場合は更新を確認してください。レンタルサーバーでは、事業者が更新するのか、利用者が管理画面で切り替えるのかがサービスごとに異なります。更新済みと決めつけず、公式のお知らせと管理画面を確認してください。
何が発表された？
PHP公式は2026年10月21日、未認証のリモートコード実行につながる可能性がある2件の脆弱性（CVE-2026-109618、CVE-2026-109619）と修正版を公表しました。PHP公式の説明では、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境が対象です。
IPAは事前周知時点で、今回の脆弱性を悪用した攻撃を確認していないと説明しています。これは、その後も悪用がないことを保証するものではありません。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12です。PHP 8.1以前はPHPプロジェクトの通常の更新対象外です。今回、PHP公式はPHP 7.4・8.0・8.1向けに、この脆弱性を修正する限定的なソースのバックポートも公開しました。これはPHP 8.2〜8.5の通常リリースや、各OS・ホスティング会社が配布するパッケージへの修正とは別のものです。今回限りの修正で、旧バージョンへの継続的なセキュリティサポートを意味しません。利用中のOSやサーバーで使えるとは限らないため、配布元・ホスティング会社に修正の適用状況と今後のサポートを確認してください。PHP 8.2のセキュリティ更新は2026年12月31日に終了予定です。
WordPressでPHPバージョンを確認し、安全に更新する
- 現在のバージョンを見る。WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」にPHPの情報があります。ホスティング会社の管理画面でも確認できます。PHPはサーバー側で動くため、管理画面に表示された番号だけで修正適用済みとは判断せず、事業者の告知も照合してください。
- 更新前に互換性を調べる。WordPress本体、テーマ、プラグインを更新し、各提供元のPHP対応情報を確認します。試験用サイトが使える場合は、先にそこで切り替えて主要機能を試します。
- ファイルとデータベースを両方バックアップする。画像やテーマ・プラグインなどのファイルと、記事・設定を含むデータベースは別です。両方を同じ時点で保存し、復元方法も確認してから進めます。
- サーバー会社の手順で切り替える。PHPの設定はサーバー側にあります。管理画面から変更できる会社もあれば、自動適用やサポートへの連絡が必要な場合もあります。画面名や切替方法は共通ではないので、契約中のサービスの案内に従ってください。
- 切替後にサイトを確認する。トップページ、管理画面へのログイン、フォーム送信、メール通知、決済、主要プラグインなどを確認します。不具合が出たら、古い脆弱なPHPへ戻す判断を独自にせず、ホスティング会社や開発者に相談し、修正版を使ったまま互換性の問題を解消してください。
PHP公式は、今回の脆弱性に完全な回避策はなく、修正版への更新が必要と案内しています。設定変更だけで対策済みとは扱わないでください。
WordPress公式は、PHPの設定がホスティング会社側にあること、テーマやプラグインとの互換性を事前に調べること、バックアップ後に進めることを案内しています。
レンタルサーバーで確認すること
- 利用中のPHPバージョンを見る。サーバーパネルやサイト設定のPHPバージョン表示を確認します。WordPressを使っていても、サーバー側の実行バージョンは別に確認してください。
- 事業者が修正を適用したか確認する。「PHPを更新した」という案内だけでなく、対象の脆弱性に対応した版または修正の適用済みか、対象プランと適用時期を見ます。
- 自分で切替が必要か確かめる。事業者によって、自動更新、管理画面でのバージョン変更、問い合わせが必要な場合があります。案内の手順に従ってください。
- 切替前後にサイトを確認する。バックアップを取り、案内に従って更新した後、トップページ、ログイン、フォーム、決済、主要プラグインなどを確認します。更新先のPHPと古いテーマ・プラグインが合わないことがあるためです。
VPSや自前サーバーでPHPを管理する場合は、OSの配布元やPHP公式の案内に沿って更新し、対象のPHP-FPMやWebサーバーのプロセスを適切に再起動します。サーバー構成が分からないまま、設定値だけを変更して対策済みと判断しないでください。
レンタルサーバー各社の公開情報
2026年10月22日（日本時間）時点で確認できた公式情報です。告知の有無だけで各社の全サーバー・全契約者への適用状況を断定できません。
- エックスサーバー：公式告知では、PHP 8.2〜8.5を10月19日にそれぞれ8.2.34、8.3.35、8.4.26、8.5.11へ更新したと案内されています。これは今回PHP公式が公表した修正版より前の番号です。この告知だけでは今回の2件への対応完了を確認できません。新しい公式案内とご利用サーバーの表示を確認してください。
- ロリポップ！：公式のお知らせ一覧には9月28日のPHPパッチ更新と、10月19日の「セキュリティ強化に関する緊急メンテナンス」が掲載されています。確認できた情報だけでは、この2件が今回のPHP脆弱性を修正したかは分かりません。利用中のPHP版・サーバーについて、最新の公式告知またはサポートで確認してください。
- ConoHa WING：10月21日夜から22日午前にかけて一部サーバーの緊急保守告知がありましたが、作業内容は「システムの保守作業」とされ、今回のPHP脆弱性への対応とは明記されていません。この告知だけでは修正適用を確認できません。対象プランの案内やサポートで確認してください。
このサイトへの影響
サーバー費用ナビとプチ丈ノートは、公開リポジトリ上でHTML・CSS・JavaScriptを配信するCloudflare Pagesの静的サイトとして構成されています。敏感肌向けツールも、現時点の試作品はHTML・JavaScriptで端末内動作する構成です。確認したコードにPHP実行ファイルやPHP依存は見つかっていません。そのため、今回のPHP修正を目的としたコード変更は行いません。ホスティング事業者の内部インフラ全体については、利用者側から確認できる範囲を超えるため断定しません。
PHP公式は更新を完全な対策として案内しています。暫定的な設定変更だけで安全と判断せず、各事業者が案内する修正適用方法を確認してください。