はじめに：ニュースは見たが、自社に関係があるのか分からない
「PHPに重大な脆弱性」という見出しを見て、ホームページを作ってもらった会社に連絡すべきか迷った方もいると思います。PHPという名前は知っていても、自社のサイトがそれで動いているのかを即答できる経営者は多くありません。分からないまま様子を見るか、慌てて業者に「大丈夫ですか」とだけ聞くか、どちらかになりがちです。
この記事では、まず何が公表されているかを確認し、次に自社のサイトが関係するかを見分ける方法、自分で確認する手順、業者に頼むときの依頼文を順に書きます。不安を煽る意図はありません。事実と手順だけを整理します。
結論：影響があるのは「PHPで動いているサイト」
php.net は2026年10月20日に重大なセキュリティリリースを予告し、10月21日に修正版を公開しました（予告では、公開予定は日本時間 23:00＝14:00 UTC とされていました）。重大な脆弱性が2件あり、どちらも深刻度の指標 CVSS v4.0 のスコアは9.2とされています。php.net の告知は、認証なしで外部からプログラムを実行される（遠隔からのコード実行）おそれがあるとして、すべての利用者にすぐ更新するよう求めています（出典: php.net のセキュリティ告知、CVSS のスコアは予告による）。
PHPは、サーバー側でページを組み立てるためのプログラミング言語です。ですから関係があるのは、PHPで動いているサイトです。WordPressで作られたサイトの多くは、これに当たります。一方で、サーバーを自社で持たないサービスや、PHPを使わない形で作られたサイトは、話の前提が変わります。後半で整理します。
自社サイトがPHPで動いているかの見分け方
次の点を順に見てください。どれか1つで断定はできませんが、重なるほど可能性は高くなります。
- ホームページが WordPress で作られている（制作時に「WordPressです」と言われた記憶がある）
- レンタルサーバーを契約していて、毎月または毎年、サーバー代を払っている
- 管理画面にログインするURLに wp-admin が含まれている（例: 自社ドメインの後ろに /wp-admin/ を付けたページ）
- 制作会社や保守会社から、サーバーの契約情報を預かった、または共有された
逆に、制作を頼んだ会社から「サーバーは不要です」「静的なサイトです」と言われた場合や、ネットショップのサービスを使って店舗を作った場合は、PHPと無関係の可能性があります。ただ、見た目だけでは判断しきれないので、分からなければ後述の依頼文で業者に聞くのが確実です。
対象のバージョンと修正版
php.net の告知（2026年10月21日）による内容です。
- 修正版: PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。告知では、これらへの更新を求めています
- 脆弱性の番号: CVE-2026-109618、CVE-2026-109619
- 対象: 告知では、Webのリクエストを処理しているPHPはすべて対象とされています（PHP-FPM、Apache の mod_php など、サーバーでの動かし方を問わない書き方です）
- PHP 8.1 以前: 通常のリリースとしての更新は、PHPの開発元からはもうありません。告知では、サポートが続いているバージョンへ上げるか、独自に修正を提供している事業者（一部のディストリビューションや長期サポートの事業者）に相談するよう案内しています。今回は重大さを考えて、PHP 7.4 / 8.0 / 8.1 向けに最小限の修正（ソースコードの形）も用意されています
- PHP 8.2: 2026年12月31日でサポートが終わると告知されています。今回は更新を受けられますが、年内に次のバージョンへ移る計画も必要です
- 応急の設定変更: 告知には、すぐ更新できない場合に攻撃の経路を狭める設定も載っています。ただし告知自身が「安全にはならない」と書いており、更新が唯一の確実な対処です
上記は2026年10月21日 23:40ごろ（日本時間）に php.net の告知で確認しました。サーバー会社が更新版をいつ提供するかは、会社ごとに違います。
自社のPHPのバージョンが、上の修正版より古いかどうかが判断の分かれ目です。8.1以前を使っている場合は、サーバー会社や保守事業者が独自の修正を提供していればそれで済むこともありますが、多くはバージョンを上げる作業になります。古いプラグインやテーマが動かなくなることがあるので、業者と相談しながら進めるのが現実的です。
自分で確認する場合の手順
1. PHPのバージョンを確認する
レンタルサーバーの管理画面に、PHPのバージョンを表示・切り替えする項目があるのが一般的です。ただし画面の場所や名称はサーバー会社ごとに違うため、見当たらなければサーバー会社のヘルプで「PHP バージョン」を検索してください。見つけたバージョンを、上の対象バージョンと照らし合わせます。
2. サーバー会社のお知らせを確認する
PHPが自動で更新されるかどうかは、サーバー会社と契約プランによります。自動で上がる場合もあれば、利用者が管理画面で切り替える必要がある場合もあります。自社の契約でどちらなのかは、サーバー会社のお知らせとヘルプで確認してください。ここを推測で済ませないことが大切です。
3. 更新の前にバックアップを取る
PHPのバージョンを上げると、古いプラグインやテーマが動かなくなることがあります。更新の前に、サイトのデータとデータベースのバックアップを取り、戻せる状態にしておいてください。取っているつもりで、実際は復元できなかった、という話は珍しくありません。月1回の確認の習慣はWordPressのバックアップを月1で確認するに書いています。サーバーの初期設定の考え方はXserverで本番を安定させる初期設定も参考になります。
4. 更新後は表示を確認する
更新したら、トップページ、問い合わせフォーム、ネットショップなら購入までの流れを実際に操作して確認します。見た目は正常でも、フォームだけ動かないといった不具合がありえます。
ここまでの作業は、管理画面に慣れていれば1回で終わる内容ですが、プラグインの相性で戻す作業が出ると時間が読めなくなります。費用の面では、サーバー側の設定変更自体に追加料金がかかるかは契約次第です。業者に頼む場合の工数は、サイトの規模とプラグインの数で変わるので、見積もりの前提として「いくつのサイトを対象にするか」「確認項目はどこまでか」を先に決めておくと比較しやすくなります。
業者に頼む場合の聞き方
制作会社や保守会社がある場合は、次の文面をそのまま送れます。
お世話になっております。2026年10月21日に php.net が公開したPHPのセキュリティ修正（CVE-2026-109618、CVE-2026-109619）について、当社サイトへの影響を確認させてください。
- 当社サイトで現在使っているPHPのバージョンを教えてください。
- 修正版（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 のいずれか）への更新予定日を教えてください（自動更新の契約か、手動での作業が必要かも合わせてお願いします）。
- 更新後に、トップページ・問い合わせフォーム・（ネットショップがあれば）購入の流れを確認し、結果を共有してください。
あわせて、更新前のバックアップを取得済みか、費用が発生する場合はその目安も教えてください。
この3点を聞く理由は、答えがそのまま判断材料になるからです。バージョンを答えられない業者は、現状を把握していない可能性があります。更新予定日が決まっていなければ、いつ対応するかを決めてもらう必要があります。更新後の確認は、作業が終わった証拠として受け取れます。
やらなくてよい場合
次の場合は、サーバー側の更新で自社にできることは多くありません。
- Shopify・BASE・STORES のようにサーバーを自社で持たないサービス: 一般に、サーバーの更新は提供会社の範囲です。ただし「影響が無い」と決めつけず、提供会社のお知らせを見て、案内があるかだけ確認してください。サービスの中で何が使われているかは、各社の案内で確かめるのが確実です。
- PHPを使っていない静的サイト: 自分のサイト logical-web.jp がこれに当たります。以前はレンタルサーバー（Xserver）上のWordPressでしたが、2026年6月にPHPを使わない静的サイトへ移し、9月からは Cloudflare Pages で配信しています。そのため今回のPHPの脆弱性は、自分のサイトには該当しません。ただし、これは「今回の件に該当しない」という意味であり、静的サイトなら何も心配がない、という意味ではありません。引っ越しでは、見えない部分に思わぬ漏れが出ることもあります（サイトを引っ越したら、会社のメールが届いていなかったに自分の失敗を書いています）。
また、サーバー契約があっても、WordPressを使っておらずPHPも動いていないなら、今回の対応は不要です。判断がつかないときだけ、上の依頼文で聞いてください。
まとめ
- 影響があるのは PHP で動くサイトで、WordPress の多くが該当します。修正版は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。8.1 以前は、多くの場合バージョンを上げる作業が必要です。
- 自社が該当するか分からなければ、サーバーの管理画面か業者に、PHPのバージョンと更新予定日を聞けば足ります。
- 更新の前にバックアップ、更新の後に表示確認、の順で進めてください。
自社のサイトが何で動いているか、更新を誰がやるのかが整理できていない場合は、現状の確認だけを単発でお手伝いできます（単発のご依頼について）。状況を聞かせていただければ、やるべきことと、やらなくてよいことをお伝えします。お問い合わせはこちらからどうぞ。