2026年10月、Webサイトの基盤となるプログラミング言語「PHP」において、深刻度「最高レベル（CVSS9.2）」の重大な脆弱性が発見されました。自社のホームページをWordPressで運用している場合、この脆弱性を放置すると、サイトの改ざんや顧客情報の漏洩など、企業にとって致命的な被害につながる恐れがあります。

※本脆弱性（CVE-2026-109618 / CVE-2026-109619）の詳細は、IPA（情報処理推進機構）のセキュリティ注意喚起ページ等をご確認ください。

本記事では、今回のPHP脆弱性の概要と、WordPress管理画面からの「バージョン確認」方法、そして安全にアップデートを行うための具体的な対応手順をわかりやすく解説します。自社サイトを守るため、今すぐ確認と対策を実施してください。

注意！今回の問題は「WordPressを最新にする」だけでは防げません

今回の脆弱性対応で最も注意すべき点は、「WordPress本体やプラグインの脆弱性ではない」ということです。

WordPressは「PHP」という言語で動いています。家（WordPress）のセキュリティをどれだけ強化しても、土台となる土地（PHPやサーバー）に大きな穴が開いていれば侵入されてしまいます。そのため、WordPress本体やプラグインを最新バージョンに更新するだけでは、今回の脆弱性対策としては不十分です。

実際、WordPress公式からも問題の深刻度が高いため、サイト所有者の皆様には、PHPのインストールを直ちに更新していただくことを強くお勧めします。と声明が出されています。サーバー側の「PHP本体」を修正版へと更新する必要があります。

今すぐ確認！自社サイトのPHPバージョンの確認方法

まずは、自社のWordPressサイトが現在どのPHPバージョンで動いているかを確認しましょう。WordPressの管理画面（ダッシュボード）から簡単に確認できます。

1. WordPressの管理画面にログインする
2. 左側メニューの「ツール」から「サイトヘルス」をクリックする
3. 画面上部の「情報」タブを選択する
4. リストの中から「サーバー」の項目をクリックして展開する
5. 「PHPバージョン」の項目に記載されている数字を確認する

今回、PHP公式から提供された修正版のバージョンは「8.5.12」「8.4.27」「8.3.36」「8.2.35」などです。これより古いバージョン（特に公式サポートが終了しているPHP8.1以前）を使用している場合は、早急なアップデートを推奨します。

PHP脆弱性に対応するための具体的なアップデート手順

PHPのバージョン更新は、ご利用の「レンタルサーバー」の管理画面から行うのが一般的です。しかし、事前の準備なしにいきなり更新すると、サイトの画面が真っ白になってしまうリスクがあります。必ず以下の手順を踏んで対応してください。

ステップ1：ファイルとデータベースのバックアップを取得

万が一、更新後にサイトが崩れてしまった場合に元の状態に戻せるよう、必ずWebサイト全体のデータ（画像やテーマファイルなど）と、データベースのバックアップを取得してください。プラグイン（UpdraftPlusなど）を利用するか、サーバーの自動バックアップ機能を確認しましょう。

ステップ2：テーマ・プラグインとの「互換性」を確認

現在使用しているWordPressのテーマやプラグインが、新しいPHPバージョンに対応しているか（互換性があるか）を確認します。長年更新が止まっている古いプラグインを使用している場合、新しいPHPに切り替えた途端にエラーを引き起こす原因になります。不要なプラグインはこの機会に「完全削除」しておきましょう。

ステップ3：レンタルサーバー管理画面でのバージョン切り替え

事前の準備が完了したら、利用しているレンタルサーバーのコントロールパネルにログインし、最新のPHPバージョンへ切り替えます。変更後、自社サイトのトップページやお問い合わせフォームが正常に動作するか、入念にテストしてください。

【現場レポート】主要レンタルサーバー各社の対応状況の違い

今回の脆弱性発覚時、サーバー会社によって修正版の提供スピードや対応方針に大きな差が出ました。参考までに、当社の観測範囲における主要サーバーの動向は以下の通りです。

• エックスサーバー：対応が非常に早く、いち早く修正版への切り替えが可能になりました。（参考：エックスサーバー 公式インフォメーション）
• ConoHa WING：管理画面内で操作可能になるまで少し時間はかかりましたが、順次対応が進められました。
• さくらのレンタルサーバ：復旧まで多少時間はかかったものの、サポート外の古いバージョンに対してもパッチ対応を行うなど、手厚い措置がとられました。
• ロリポップ！：当社の観測範囲では復旧に最も時間がかかっており、一部の対象サイトでは「502 Bad Gateway」のエラーで2〜3日間サイトが閲覧できない状態が続いたケースもありました。（参考：ロリポップ！ 障害・メンテナンス情報）

このように、サーバー会社の対応スピードにはバラつきがあります。サーバー側の対応をただ待つだけでなく、自社でもいち早く状況を把握し、自衛の対応を行うスピード感が企業には求められます。

そもそも、なぜ「古いホームページの放置」は危険なのか？

今回のPHP脆弱性に限らず、数年間放置された古いホームページは、サイバー攻撃の格好の標的になります。

ハッカーは特定の企業を狙うのではなく、自動化されたプログラムを使って「脆弱性のある放置されたサイト」を世界中から無差別に探し出します。したがって「うちは中小企業だから狙われない」という考えは非常に危険です。放置による具体的な被害には以下のようなものがあります。

被害の種類	具体的な内容	企業へのダメージ
サイトの改ざん	悪意のある別サイトへの強制転送や、不適切な画像の表示	企業ブランドの失墜と、検索エンジンからのインデックス削除
個人情報の漏洩	お問い合わせフォーム等に入力された顧客情報の抜き取り	損害賠償請求の発生と、取引先からの信用失墜
踏み台攻撃	自社のサーバーを乗っ取られ、大量の迷惑メールを送信される	自社ドメインがブラックリストに登録され、通常業務のメールが届かなくなる

まとめ：セキュリティ対策は「維持する」保守作業が不可欠

今回のPHP重大脆弱性のように、新たなセキュリティリスクは日々発生しています。ホームページは「作って終わり」ではなく、定期的なシステムのアップデートと、サーバー環境の最新化といった保守作業を継続することが不可欠です。

企業の社会的責任として、自社サイトが適切な保守管理を受けているか、システムのアップデートが滞っていないかを今すぐ確認し、確実なセキュリティ対策を実施してください。