2026年10月21日、Webサイトを動かすプログラム言語「PHP」に深刻な欠陥が2件公表され、高市早苗内閣総理大臣もXで対応を呼びかけました。何が起きたのかを公式の発表に沿って整理し、自社のサイトが対象かどうか、今日確かめておきたいことをまとめます。
2026年10月21日の夜、Webサイトを動かすプログラム言語「PHP」に、深刻な欠陥が2件見つかったことが公表されました。WordPressも、このPHPの上で動いています。
この記事では、何が起きたのかを公式の発表に沿って整理し、自社のサイトが対象かどうか、今日確かめておきたいことをまとめます。
内閣総理大臣も、対応を呼びかけた
21日の夜には、高市早苗内閣総理大臣が自身のXで、次のように呼びかけました。
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
（高市早苗 内閣総理大臣のX投稿、2026年10月21日 午後9:55）
修正版が公開された後には、国家サイバー統括室も次のように呼びかけています。
2026年10月21日、多くのウェブサイトで使用されているPHP更新プログラムが公開されました。重大な脆弱性に関するセキュリティ修正が含まれていますので、可及的速やかに適用してください。適切な対応がなされない場合、ウェブサイト等が侵害を受ける可能性があります。
（国家サイバー統括室（注意・警戒情報）のX投稿、2026年10月21日 午後10:57）
情報処理推進機構（IPA）も同じ日に、PHPを使っているシステムを洗い出し、修正版をすぐ当てられるよう準備するよう呼びかけています。
そもそもPHPとは
PHPは、Webページを見に来た人がいるたびに、その場でページを組み立てるためのプログラム言語です。WordPressをはじめ、多くのWebサイトがPHPで動いています。
使っている言語がわかるWebサイトのうち、69.3%がPHPを使っています（W3Techs、2026年10月21日時点）。影響を受けうるサイトは、それだけ多いということです。
何が起きたのか
PHPの開発チームは、日本時間10月21日の夜、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を直した版を公開しました。深刻度は、10点満点の評価（CVSS v4.0）で9.2です。条件によっては、ログインしていない外部の人に、サーバーの上で勝手にプログラムを動かされるおそれがあります。
開発チームによると、対象はWebのリクエストを処理するすべてのPHP環境です。修正済みの版は次の4つです。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
開発チームのサポートがすでに終わっている古い版（8.1以前）には、開発チームからの更新は出ていません。
自社のサイトは対象か
| サイトの置き場所 | やること |
|---|---|
| 共用のレンタルサーバー（WordPressの多くはここ） | PHP本体は、多くの場合サーバー会社が直します。ただし、古いPHPの版は修正が後回しになることがあります。お使いのサーバー会社のお知らせを確認してください |
| 自社で管理するサーバー（VPS・クラウドなど） | 上の修正済みの版へ、自社で更新する必要があります |
| 制作会社・保守会社に任せている | 「今回のPHPの件は、うちのサイトは対応済みか」を確認してください |
今日、確かめておきたいこと
上から順に確かめてください
- 自社のサイトはPHPで動いているか（WordPressなら動いています）
- PHPの版はいくつか（WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます）
- 版が8.1以前ではないか（開発チームの更新はすでに終わっています）
- 版が8.2なら、乗り換えの予定を立てたか（8.2も2026年12月31日にサポートが終わります）
- 使っていない古いサイトやテスト用のサイトが、サーバーに残っていないか
8.1以前だった場合は、サーバー会社の修正を待つだけでなく、新しい版への切り替えを検討してください。切り替えると古いテーマやプラグインが動かなくなることがあるので、バックアップを取ってから、制作会社や保守会社と進めるのが安全です。
すぐに直せないときは
総理の投稿にもあるとおり、サイトを一時的に止めることも、リスクを減らす手段の一つです。
開発チームは、すぐに更新できない場合の設定上の対策も公表しています。ただし、開発チーム自身が「攻撃の経路を減らすもので、安全を保証するものではない。完全な解決は更新だけ」と明記しています。
WordPressが悪いわけではない。ただ、作り方の問題は残る
今回の欠陥は、WordPressではなく、その土台のPHPにありました。WordPressに落ち度があったわけではありません。
ただ、公開しているサーバーの上でPHPが動く作り方を続ける限り、こうした知らせが来るたびに、「うちは大丈夫か」の確認と対応が必要になります。今回のように、夜に知らせが来ることもあります。
弊社が勧めている作り方では、公開サーバーに置くのは完成したページだけです。ログイン画面もデータベースもなく、PHPも動いていません。
作り方の違いは、こちらの記事で詳しく説明しています。
WordPressからの移行を考えるきっかけにしていただけるなら、内容をPDF資料にまとめています。社内での相談や稟議にそのまま使えます。
自社のサイトがどうなっているか分からない場合も、お問い合わせからご相談ください。
出典
- 高市早苗 内閣総理大臣のX投稿（2026年10月21日 午後9:55）
- 国家サイバー統括室（注意・警戒情報）のX投稿（2026年10月21日 午後10:57）
- The PHP Group「セキュリティアドバイザリ」および各版のリリース告知（2026年10月21日）
- The PHP Group「PHP 8.2.35 リリース」（8.2のサポート終了日の記載）（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
- W3Techs「Usage statistics of PHP as server-side programming language on websites」（2026年10月21日時点）
