PHP脆弱性は自社サイトに影響する？修正済みか確認する方法【2026年10月】
確認日：2026年10月22日
「PHPに重大な脆弱性が見つかったと聞いたけれど、自社のホームページも対応が必要？」と迷っていませんか。
最初に確認したいのは、サイトで使っているPHPと、その環境に今回の修正が適用されているかです。WordPressを更新したことや、サイトが普段どおり表示されることだけでは、対応済みか判断できません。
この記事では、Web担当者が確認する順番と、サーバー会社・制作会社へ相談するときのポイントを整理します。
2026年10月21日に、PHPの重大な脆弱性の修正版が公開
PHP公式は、認証なしで外部からコードを実行される可能性がある2件の脆弱性について、修正版を公開しました。識別番号はCVE-2026-109618とCVE-2026-109619です。
今回の修正が含まれる公式リリースは、PHP 8.2.35・8.3.36・8.4.27・8.5.12です。PHP公式は速やかな更新を呼びかけています。［1］
ただし、「PHPを使っている＝すでに被害を受けている」ではありません。自社の環境と修正状況を確認し、未対応なら早急に対応することが大切です。
自社サイトで確認することは3つ
1．対象サイトが実際に使っているPHP
WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。［2］
サーバー管理画面に複数のバージョンが並んでいても、それがすべてのサイトに適用されているとは限りません。確認したいドメイン・サイトの設定を見てください。管理画面に入れない場合は、契約先や管理担当者に確認しましょう。
2．サーバー会社が今回の修正を適用したか
公式の障害・メンテナンス情報で、今回の脆弱性への対応を確認します。「対応予定」「作業中」「完了」を区別し、自分の契約サービス・サーバー・利用中のPHPが対象に含まれるかも確認してください。
バージョン番号を変えずに修正を適用する「バックポート」が行われる場合もあります。そのため、番号が古く見えるだけで未対応とは断定できません。修正適用の案内やサーバー会社の回答も合わせて判断します。［1・3］
3．利用者側で必要な操作が残っていないか
サーバー側の作業が完了していても、契約内容や環境によって確認すべき点は異なります。自動適用か、PHPの切り替えなどが必要かを案内で確認してください。
問い合わせるなら、「このドメインで動いているPHPに、CVE-2026-109618とCVE-2026-109619の修正は適用済みですか。利用者側で必要な作業はありますか」と伝えると、確認対象が明確になります。
確認結果に応じて、次の対応を決める
- 修正適用済みと確認できた：対象環境と確認日を記録し、追加作業の要否を確認します。通常の保守は引き続き必要です。
- 未対応と確認できた：サーバー会社・管理担当者へ速やかに連絡し、修正適用を優先します。
- 対応状況が分からない：「たぶん大丈夫」と扱わず、契約先へ確認します。調査中であることと対応済みであることは別です。
WAFなどの対策が案内されていても、それだけで今回の修正が不要とは判断しないでください。PHP公式は、更新以外の緩和策だけで安全になるとはしていません。［1］
WordPressの更新と、PHPの修正は別の作業
PHPは、WordPressなどを動かすサーバー側のソフトウェアです。WordPress本体・テーマ・プラグインを更新しても、それだけでPHPの脆弱性が修正されるわけではありません。今回の問題はWordPress固有のものでもありません。［2］
また、「今回の修正を適用すること」と「古いPHPから新しい系列へ移行すること」も分けて考えます。前者は今回の問題への対応、後者は今後の保守や互換性も含めた更新です。
PHP 7系や8.0・8.1などを使っている場合も、今回の修正適用状況は提供元に確認してください。PHP公式は7.4・8.0・8.1向けの最小限のソース修正も案内していますが、通常サポートの再開を意味しません。目先の修正確認と、サポートされる環境への移行計画を並行して進めましょう。［1・4］
PHPを切り替える場合は、表示とフォームまで確認
古いテーマやプラグイン、独自のプログラムが、新しいPHPで動かない場合があります。切り替えが必要なら、担当者と次の点を確認して進めます。［5］
- ファイルとデータベースのバックアップがあり、復元方法を確認できているか
- WordPress・テーマ・プラグイン・独自機能に互換性の問題がないか
- 主要ページ、管理画面、問い合わせフォームなどが正常に動くか
- 問題が起きた場合の復旧手順と担当者が決まっているか
ただし、長期的なリニューアルの準備を理由に、今回の修正を後回しにしないことも重要です。緊急の修正と、その後の移行を分けて相談してください。
更新の基本手順は、「PHPの更新が必要です」と表示されたときの対処で詳しく説明しています。
自社サイトの状況が分からないときは
相談時は、分かる範囲で「サイトURL」「契約サーバー名」「現在のPHP」「サーバー会社からの案内」を用意してください。不明な項目があっても、まずは確認できている情報から整理できます。パスワードなどの認証情報は問い合わせ本文に書かないでください。
すぐウェブでは、今回のPHP脆弱性について、使用中のPHPやサーバー側の対応状況を確認する影響調査を無料で受け付けています。修正や更新が必要な場合は、作業内容・費用を確認したうえで進めます。［6］
なお、修正の適用は、すでに改ざんなどが起きていないことの証明ではありません。不審な表示や見覚えのない変更がある場合は、その状況も併せて相談してください。
参考情報
この記事は2026年10月22日に確認した情報をもとにしています。修正版や各社の対応状況は更新されるため、作業前に提供元の最新案内を確認してください。