「PHPの脆弱性は10月29日までに対応が必要」と聞いて、自分のサーバーも対象なのか気になっていませんか。
この日付は、米国CISAがPHPの2件の脆弱性に設定した、米国の連邦文民行政機関向けの対応期限です。日本のブログ運営者に、この期限をそのまま守る義務が課されるわけではありません。[1][2]
ただし、PHP2Shellはすでに悪用が確認された脆弱性として扱われています。10月29日は攻撃が始まる日ではなく、期限を過ぎても未対策のサイトには危険が残ります。
まず確認したいのは、WordPressのバージョンではなく、サイトを動かしているPHPのバージョンと修正の適用状況です。
先に確認すること
- WordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPバージョンを見る。
- サーバー会社のPHP2Shell対応案内で、自分の契約・PHP設定が対象か確認する。
- 対応が分からなければ、下の問い合わせ文を使って修正済みか確認する。
※2026年10月30日時点の情報です。サーバー会社の最新案内もご確認ください。
PHP2Shellの10月29日期限は、誰に対するもの？
CISAは2026年10月26日、次の2件を「悪用が確認された脆弱性の一覧（KEV）」に追加しました。両方の対応期限は2026年10月29日です。[1]
| 項目 | 内容 |
|---|---|
| 対象の脆弱性 | CVE-2026-109618、CVE-2026-109619 |
| 通称 | PHP2Shell |
| KEV追加日 | 2026年10月26日 |
| カタログの対応期限 | 2026年10月29日 |
| 期限の対象 | 米国の連邦文民行政機関（FCEB） |
| 日本のサイト運営者 | この期限が直接適用されるわけではないが、修正状況の確認が必要 |
KEVは、悪用の証拠がある脆弱性を掲載するカタログです。期限の意味は「この日から攻撃が本格化する」ではありません。10月29日を境に攻撃が増えるとは判断できません。
対策するのは、WordPressを動かすサーバー側のPHP
PHP2Shellは、PHP本体で見つかった2件の重大な脆弱性の通称です。WordPress本体やプラグインの更新に加え、サーバー側のPHPの修正が必要です。[3][4]
PHPや脆弱性の仕組み、各社でサイト停止が相次いだ理由は、PHP脆弱性の基礎解説で図を使って説明しています。ここからは、サイト運営者が修正状況を確認する手順を紹介します。
WordPressでPHPバージョンを確認する方法
追加のプラグインを入れずに、管理画面で確認できます。[5]
- WordPressの管理画面にログインする。
- 左側の「ツール」から「サイトヘルス」を開く。
- 「情報」タブを選ぶ。
- 「サーバー」を開く。
- 「PHPバージョン」に表示された番号を控える。
「8.3」のような大まかな番号だけでなく、表示されていれば「8.3.36」まで控えてください。
サイトヘルスは確認用の画面です。ここからPHPのバージョンを変更することはできません。変更はサーバーの管理画面やサポート窓口を通じて行います。[6]
また、サイトヘルスに警告が出ていないだけで、今回の脆弱性が修正済みとは判断できません。
修正版は8.2.35・8.3.36・8.4.27・8.5.12
PHP公式が2026年10月21日に公開した、今回の2件を修正するバージョンは次のとおりです。[3][4]
| 利用している系列 | PHP公式の修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| PHP 8.1以前 | PHP公式のサポート終了。提供元の修正状況を確認し、サポート中の系列への移行を検討 |
この表は、PHP2Shellの2件に対する修正版です。PHP全体の安全性や、別の脆弱性まで対策済みであることを示すものではありません。
バージョン番号が古くても、修正済みの場合があります
Linuxの配布元やサーバー会社によっては、元のバージョン番号を維持したまま、必要な修正を組み込むことがあります。これをバックポートと呼びます。[3]
たとえば管理画面に古い番号が表示されていても、提供元が今回の2件を修正済みと案内していれば、その適用範囲を確認してください。番号だけで未対策と決めつけず、自分の契約サーバーで使っているPHPに修正が反映されているかを確かめます。
PHP 7.4・8.0・8.1向けには最小限の修正ソースも提供されていますが、通常サポートが再開したわけではありません。[3]
10月23日の追加案内も確認
PHP公式は10月23日、別件のCVE-2026-115560についても案内しています。特殊なセッション設定とアプリの処理が組み合わさる場合に関係する問題で、次の通常の不具合修正リリースまで、session.upload_progress.enabled=0の設定を推奨しています。[7]
サーバー会社に管理を任せている場合は、この追加案内への対応も問い合わせてください。修正版へ更新済みでも、この追加案内への対応をご確認ください。
レンタルサーバー利用者がやること
1．自分の契約に対応した公式案内を読む
サーバー会社のお知らせで「PHP」「PHP2Shell」「CVE-2026-109618」「CVE-2026-109619」を探します。
同じ会社でも、サービスや契約プラン、PHPの実行方式によって対応が異なる場合があります。「全サーバー対応済み」なのか、「特定のPHPを選ぶ必要がある」のか、自分の契約に当てはめて読みます。
2．変更が必要なら、バックアップと互換性を確認する
PHPの系列を変更する前に、WordPressのファイルとデータベースをバックアップし、復元方法も確認します。テーマ・プラグインの対応状況を調べ、可能ならテスト環境で動作を確かめてください。[5]
「数字が一番大きいもの」を選ぶのではなく、サイトが対応していて、今回の修正が適用されたPHPを選びます。検証に時間が必要な場合も、先にサーバー会社へ連絡し、当面の保護策を相談してください。
3．変更後は、表示だけでなく機能も確認する
トップページが開くだけでは、動作確認は終わりません。運用に合わせて、次の点を確認しましょう。
- 記事・固定ページ・管理画面が開くか。
- 画像のアップロードができるか。
- 問い合わせフォームからテスト送信し、メールが届くか。
- 会員機能や購入機能がある場合、ログインや注文が正常か。
- サイトヘルスのPHPバージョンと、サーバー会社の適用案内が一致するか。
対応が分からないときの問い合わせ文
バージョン表示だけで判断できないときは、次の文面で確認できます。
件名：PHP2Shellの修正適用状況について
契約中のサーバーで運用しているWordPressについて、PHP2Shell（CVE-2026-109618、CVE-2026-109619）の対応状況を確認したく、ご連絡しました。
対象ドメイン：［ドメイン名］
契約サービス・プラン：［サービス名・プラン名］
WordPressに表示されるPHPバージョン：［表示された番号］
現在利用しているPHPには、上記2件の修正が適用されていますか。バックポートで対応している場合は、その旨もお知らせください。
また、PHP公式が10月23日に案内したCVE-2026-115560への対応状況と、利用者側で必要な操作があれば教えてください。
よろしくお願いいたします。
VPS・自社サーバーを管理している場合
管理者は、OSやパッケージの提供元に従って更新し、Webリクエストを実際に処理しているPHPへ反映されたことを確認してください。複数のPHP系列、コンテナ、検証サイトがある場合は、それぞれ確認が必要です。
コマンドラインのphp -vは確認の手掛かりになりますが、Webサイトと別のPHPを表示する場合があります。Web側の実行環境とパッケージの修正履歴を照合し、提供元の手順に従ってPHPワーカーを再起動・置換してください。[8]
更新までの一時対策は環境依存です。WAFやPHP設定の変更だけで対策済みとせず、公式手順に沿って更新を進めます。一般のブログ運営者が、解説を見てメモリ設定などを一律に変更することは避け、サーバー会社へ相談してください。
また、更新しても、侵入済みの不正ファイルやアカウントが残る場合があります。不審なPHPファイル、予期しない管理者アカウント、ログの異常などがあれば、記録を保全してサーバー会社や保守担当者に調査を依頼します。
よくある疑問
WordPressを最新版にすれば直りますか？
今回の問題にはPHP本体の修正が必要です。WordPress・テーマ・プラグインの更新と、PHPの修正適用を個別にご確認ください。
レンタルサーバーなら、自動で対応してくれますか？
対応方法はサービスによって異なります。提供元の案内で、自分の契約が対応済みか、PHPの選び直しなどが必要か確認してください。
10月29日を過ぎたら、もう手遅れですか？
期限を過ぎたことだけで、侵害されたとは判断できません。未対策なら、修正状況の確認と必要な更新を進めてください。不審な点がある場合は調査も必要です。
出典・参考情報
- CISA：Known Exploited Vulnerabilities Catalog（CVE-2026-109618、CVE-2026-109619）／取得に使用したCISAページの中継表示
- CISA：BOD 26-04／取得に使用したCISAページの中継表示
- PHP公式：2026年10月21日のセキュリティ勧告
- The PHP Foundation：2026年10月21日の修正版公開について
- WordPress公式：PHPの確認・更新ガイド
- WordPress公式：サイトヘルス画面
- PHP公式：2026年10月23日の追加案内
- PHP公式セキュリティ勧告：CVE-2026-109618、CVE-2026-109619
