2026年10月21日

PHPに「緊急」レベルの脆弱性2件、今夜23時に修正版——WordPressのサイトを持つ会社が今やること

Webサイトを動かすプログラム言語「PHP」に、4段階でいちばん深刻な「緊急（Critical）」レベルの脆弱性が2件見つかりました。開発元は、修正版を2026年10月21日（水）23時（日本時間）に公開すると予告しています。

WordPressで作った会社のホームページや、ネットショップ、予約・問い合わせのシステムの多くはPHPで動いています。国内でも、サービスを一時停止して修正版を待つ会社が相次いでいます。自社のサイトが関係あるかの確かめ方と、今夜から明日にかけてやることをまとめます。

何が起きているのか

項目	内容
予告	2026年10月20日、PHPの開発元（The PHP Group）のセキュリティチーム
深刻度	2件とも CVSS v4.0 で 9.2（Critical）
修正版の公開予定	10月21日 14:00（UTC）＝日本時間23:00。詳細が先に広まった場合や悪用が見つかった場合は、前倒しの可能性あり
影響するバージョン	開発元は未公表（修正版の公開時に発表）。海外のセキュリティ機関などは「PHP 5以降の広い範囲に影響しうる」としている
想定される被害	外部から、サーバー上で好きなプログラムを動かされる（リモートコード実行）おそれがあると、海外の公的機関などが指摘
悪用の状況	実際の攻撃は、現時点で確認されていない（各機関の発表）。ただし「攻撃できる」とするコードが出回り始めたとの指摘もある

影響するバージョンや詳しい仕組みは、修正版が出るまで公式には分かりません。ネット上の「この設定で防げる」といった情報も、まだ確かではありません。公式の発表を待ちつつ、出たらすぐ更新できる準備をしておくのが今できることです。

WordPressはPHPで動いているので、WordPressのサイトはすべて関係ありと考えてください。使っているPHPのバージョンは、管理画面で確認できます。

ネットショップ、予約システム、問い合わせフォーム、社内の業務システムなど、自社で作った（作ってもらった）Webのシステムは、PHPを使っていないかを制作会社・保守会社に確認する
市販の業務ソフトや機器の管理画面の中でPHPが使われていることもある。提供元のお知らせを確認する

サーバーの種類	PHPを更新するのは	やること
レンタルサーバー（共用サーバー）	多くはサーバー会社	契約しているサーバー会社のお知らせ（メンテナンス情報）を確認する。管理画面で古いPHPを選んでいる場合は、新しいバージョンへの切り替えを求められることがある
VPS・クラウド（自社や制作会社が管理）	自社または保守会社	修正版が出たらすぐ更新できるよう、誰が、いつ更新するかを今夜のうちに決めておく。更新後にサイトが正しく動くかの確認も
制作会社に任せている	契約による	「今回のPHPの件、うちのサイトはどう対応しますか」と制作会社・保守会社に連絡する

国内でもサーバー会社や大手サービスが、メンテナンスや一時停止を告知しています。サイトが一時的に止まる可能性もあるので、お客様からの問い合わせに備えておくと安心です。

バックアップを取っておく：更新でサイトが動かなくなったときに戻せるよう、サイトのファイルとデータベースのバックアップを確認する
修正版が出たら、すぐ更新する：公式の発表で対象バージョンが分かったら、自社のバージョンが当てはまるかを確かめて更新する
更新後に動作を確認する：トップページ、問い合わせフォーム、ネットショップの購入画面など、大事なページが動くかを見る
古いPHPのまま止まっているサイトを見直す：サポートが終わった古いPHPは、今回の修正版が提供されない可能性がある。放置されたサイトの危険は中小企業のWebサイト、放置するとこうなるで解説しています
出どころの分からない「回避策」や「攻撃コード」は試さない：公式の情報が出るまでは、手を加えるとかえってサイトを壊すことがある

「うちのサイトがPHPを使っているか分からない」「制作会社と連絡が取れない」という会社は、BULLCOM Securityにご相談ください。WordPressのサイトのPHPのバージョン確認から、更新後の動作確認まで法人向けサービスでお手伝いします。まずはLINEでお気軽にどうぞ（無料）。

参考：PHP「News Archive（2026年10月20日の予告）」、gihyo.jp、piyolog、@IT（いずれも2026年10月21日時点の情報）