2026年10月21日の夜（日本時間）、ホームページの土台として広く使われているプログラム言語「PHP」に、重大な欠陥2件の修正版が公開されました。深刻度の指標（CVSS v4.0）は9.2で、4段階でもっとも高い「緊急（Critical）」にあたります。国内でも、さくらインターネット・エックスサーバー・GMOペパボなどのサーバー会社が同日に臨時メンテナンスを行い、一部の企業はホームページやサービスを一時的に止めて対応しました。

この記事は、WordPressなどで作ったホームページをお持ちの中小企業の方に向けて、今日のうちに確認することを4つに絞ってまとめたものです。専門用語はできるだけ使わず、サーバー会社や制作会社への聞き方もそのまま載せています。

1. 何が起きたのか

PHPの開発元（The PHP Group）は、2026年10月20日に「重大な欠陥2件の修正版を、21日14時（UTC、日本時間23時）に公開する」と事前に予告し、21日に公開しました。欠陥の番号は CVE-2026-109618 と CVE-2026-109619。深刻度の指標（CVSS v4.0）はどちらも 9.2／10 です。

どちらも、ログインしていない攻撃者が細工した通信を送ることで、サーバー上で勝手なプログラムを動かせる（＝サーバーを乗っ取れる）おそれのある欠陥です。開発元は「Webの通信を受けるすべてのPHP環境（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が対象」とし、特にApacheのmod_phpでは「アプリケーションのコードが動く前に、ログイン不要の通信だけで攻撃が成立することを確認した」としています。WordPressなどのプラグインや本体を更新しても、PHP本体を更新しなければ直りません。

開発元の財団（The PHP Foundation）は、公開時点で「実際に動く攻撃コードは確認していない」としつつ、発見者の検証動画が誤って公開されて出回ったため、攻撃コードの開発が早まったと説明しています。国内のセキュリティ会社（GMO Flatt Security）も、悪用できると称するコードがインターネット上に出回り始めていると報告しています。

国内では、IPA（情報処理推進機構）が10月21日に「PHPを使っているシステムの棚卸しと、公開後すみやかな更新の準備」を呼びかけました（IPAは同日時点で、悪用された攻撃は確認していないとしています）。

2. 自社のホームページは対象か

まず、PHPで動いているかどうかで分かれます。

  • 対象になりやすい：WordPress、EC-CUBE、Movable Type（PHP版）、Laravelなどで作ったサイト。レンタルサーバーで動いている会社のホームページの多くがこれにあたります。
  • 対象になりにくい：HTMLだけでできた静的なサイト、Wix・Jimdo・STUDIO・Shopifyなど、サービス側がすべてを管理するサイト。これらはPHPを自分で動かしていないため、利用者側での作業は基本的にありません（サービス側の対応状況は、各社のお知らせでご確認ください）。

自社のサイトがどちらか分からないときは、制作会社か、サーバー会社の契約書・管理画面を見るのがいちばん確実です。WordPressなら、管理画面のアドレスが「〜/wp-admin/」になっているのが目印です。

3. 今日のうちに確認すること4つ

  1. サーバー会社の「お知らせ」を見る。エックスサーバー、さくらインターネット、ロリポップ（GMOペパボ）などのレンタルサーバーは、10月21日から臨時メンテナンスのお知らせを出しています。サーバー側でPHPを修正版に入れ替えてくれる場合、お客様側の作業は基本的に不要です。ただし、21日時点のお知らせには「何を、どの版まで直したか」が書かれていないものもあります。お知らせの最新の追記で「修正版（8.2.35以上）への更新が完了した」と確認できるまでは、済んだと思わないでください。
  2. 使っているPHPの版を見る。レンタルサーバーの管理画面には「PHPバージョン切替」などの項目があります。表示されている版が、修正版（8.5.12／8.4.27／8.3.36／8.2.35）か、それより新しいかを確認してください。8.1、8.0、7.4以前は開発元のサポートが終わっているため、通常の修正版は出ていません（開発元はソースコードの最小限の修正だけを公開し、サーバー会社やOSの提供元が独自に当てる場合があります）。基本は、8.2以上の修正版に上げることです（次の項目へ）。
  3. 古い版なら、制作会社・保守会社に連絡する。版を上げると、古いテーマやプラグインが動かなくなることがあります。自分で切り替える前に、サイトを作った会社か保守を頼んでいる会社に、下の文面で連絡してください。
  4. WordPressならバックアップと、本体・プラグインの更新。今回の欠陥はPHP本体のものですが、この機会に、バックアップが取れているか、WordPress本体とプラグインが最新かも確認してください。使っていないプラグインは削除します。

すぐに更新できない場合、開発元は一時的な緩和策（セッションのアップロード進捗の機能を止める、メモリの上限を外す、受け付ける送信データの大きさを絞る、など）を示していますが、「これらを行っても安全にはならない」「完全な緩和策はなく、更新だけが安全な選択肢」と明言しています。

4. 修正が届くまでの「入口の防御」：Cloudflareの場合

今回は、修正版が公開される前に欠陥の情報が漏れ、攻撃の通信が始まっていました。修正版が出てから各サーバーに当たるまでの間は、どうしても「無防備な時間」が生じます。この時間を埋めるのが、サイトの入口に置く防御サービス（WAF）です。

世界的に使われているCloudflareは、10月21日付の公式ブログで、一般公開の約9時間前（日本時間21日の昼ごろ）から防御ルールを配信し、顧客のサイトを狙う攻撃の通信を観測して遮断していたと公表しています。無料プランを含む、WAFを使っているすべてのプランに自動で配信されたとのことです。

ただし、Cloudflare自身も「WAFは更新の代わりにはならない」と強調しています。欠陥はPHP本体にあるので、根本の対処はPHPの更新です。Cloudflareのような入口の防御は、更新が終わるまでの被害を抑える保険であり、「入れれば絶対に安全」というものではありません。「入口の防御（WAF）」＋「PHP・WordPressを更新し続ける保守」の両方がそろって、はじめて守りになります。

5. 制作会社・サーバー会社への聞き方（そのまま使えます）

専門の担当がいない会社でも、次の文面を送れば必要なことが伝わります。

サーバー会社には、サポート窓口に「PHPの脆弱性（CVE-2026-109618）への対応状況と、契約中のサーバーのPHPの版を教えてください」と送れば足ります。

6. 対応が済んだあとに

更新が済んだら、サイトの主なページが正しく表示されるか、お問い合わせフォームが動くかを確認してください。あわせて、サーバーのアクセスログに、10月21日以降の見慣れない大量の通信がないかを、保守会社に見てもらうと安心です。

PHPでは2024年にも、IPAが注意喚起を出した重大な欠陥（CVE-2024-4577）がありました。土台のプログラムの欠陥は、今後も起こります。「誰が更新を見ているか」が決まっていないサイトは、そのたびに取り残されます。セキュリティ対策チェックリスト10項目の9番目「委託先との役割分担」を、この機会に決めておくことをおすすめします。

LEONIAの無料チェック

LEONIAでは、ホームページがPHPで動いているか、公開されている情報から分かる範囲で版や設定に気になる点がないかを、無料で確認してお伝えしています。結果は、サーバー会社や制作会社に聞くための材料としてお使いください。対策が必要な場合は、内容をご説明したうえでお見積りをお出しします。

本記事は、開発元と公的機関の公表資料をもとにした一般的な情報です（2026年10月22日時点）。状況は日々更新されるため、最新の情報は出典先でご確認ください。個別の状況に応じた対策は、専門家にご相談ください。

出典：The PHP Group「Upcoming Critical PHP Security Release」（2026年10月20日）・「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released」（2026年10月21日）／php-src セキュリティ勧告 GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）／The PHP Foundation「Today's PHP Security Release」（2026年10月21日）／IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）／CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日）／ITmedia NEWS「PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開」（2026年10月22日）／GMO Flatt Security「PHPの重大な脆弱性「php2shell」の概要と対応指針」（2026年10月21日）／Cloudflare「Cloudflare deploys protections against php2shell vulnerability」（2026年10月21日）／さくらインターネット「緊急メンテナンス実施のお知らせ」（2026年10月21日）／IPA「PHPの脆弱性対策について（CVE-2024-4577）」（2024年7月5日）

よくある質問

Wix・Jimdo・STUDIOで作ったサイトも対象ですか？
これらはサービス側がサーバーを管理しているため、利用者が自分でPHPを更新することはありません。対応状況は各サービスのお知らせでご確認ください。自分で借りたサーバーにWordPressなどを入れているサイトが、今回の主な対象です。
PHPの版が8.1以前と表示されました。どうすればいいですか？
8.1以前はサポートが終わっているため、今回の修正版がありません。8.2以上の修正版に上げる必要があります。古いテーマやプラグインが動かなくなることがあるので、切り替える前に制作会社・保守会社に相談し、バックアップを取ってから行ってください。
サーバー会社が「対応済み」と言っていれば、何もしなくていいですか？
サーバー側でPHPを修正版に入れ替えていれば、PHP本体についてはそれで足ります。ただし、サイトごとに古い版を選んでいる場合は対象外のことがあるので、管理画面で自分のサイトの版を一度見てください。あわせて、WordPress本体とプラグインの更新、バックアップの確認もおすすめします。
Cloudflareを入れていれば、PHPを更新しなくてもいいですか？
いいえ。Cloudflareは、修正が当たるまでの間、攻撃の通信を入口で止める「保険」です。Cloudflare自身も「WAFは更新の代わりにはならない」と明言しています。欠陥はPHP本体にあるため、PHPを修正版に更新することが根本の対処です。入口の防御と、更新を続ける保守の両方が必要です。
無料チェックでは何が分かりますか？
公開されている情報から分かる範囲で、サイトがPHPで動いているか、版や設定に気になる点がないかを確認してお伝えします。サーバーの中身は見られないため、確定的な判断ではなく、サーバー会社や制作会社に聞くための材料としてお使いください。