【緊急特集】PHPの脆弱性、WordPressサイトは今なにをすればいい？初心者向けに5つの手順で解説

昨夜から「PHPに重大な脆弱性」というニュースが流れ、レンタルサーバー各社も緊急メンテナンスを行っています。「自分のサイトは大丈夫？」「何をすればいいの？」と不安に思っている方も多いと思います。

先に結論をお伝えすると、多くの方はサーバー会社の対応を待ち、終わったら「PHPのバージョン」と「サイトの動き」を確認すれば大丈夫です。

メンテナンスでサイトが一時的に表示されにくくなっても、データが消えるわけではありません。

そもそもPHPって何？

PHPは、WordPressを動かしている土台のプログラムです。皆さんが管理画面で更新するWordPress本体やプラグインとは別もので、サーバーに入っています。家にたとえると、WordPressが「建物」、PHPが「土台」です。

今回何が起きたのか

• PHPに「緊急」レベルの弱点2件（CVE-2026-109618、CVE-2026-109619。海外では「PHP2Shell」と呼ばれています）が見つかりました。危険度は10点満点中9.2です。
• 悪用されると、ログインしていない外部の人がサーバー上で勝手にプログラムを動かせるおそれがあります。
• 2026年10月21日（日本時間の深夜）に、修正版のPHP 8.5.12／8.4.27／8.3.36／8.2.35が公開されました。
• 修正版の公開前に情報が漏れ、攻撃方法の検証コードが出回ったと報じられています。このため各社が一斉に緊急メンテナンスを行っています。

大事なのは、WordPress本体やプラグインの更新、セキュリティプラグインでは今回の問題は解決しないという点です。土台であるPHPそのものを、サーバー側で修正版にする必要があります。

今やること5つ

1. 契約しているサーバー会社のお知らせを見る

レンタルサーバーの場合、PHPの修正はサーバー会社がまとめて行います。公式サイトの「障害・メンテナンス情報」で、完了したかと、利用者側の作業が必要かを確かめてください。

2. メンテナンス中にWordPress側でできることをする

レンタルサーバーの管理画面が開かなくても、WordPress側でできる対策やプラグイン等のバージョンアップやバックアップも行いましょう。
関連記事：【初心者必須】WordPressのセキュリティ対策12の方法（2026年最新版）

3. PHPのバージョンを確認する

WordPress管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと「PHPバージョン」が表示されます。サーバーの管理画面（コントロールパネル）でも確認できます。

4. 8.1以前なら、バックアップしてから新しいバージョンに切り替える

PHP 8.1以前は公式サポートが終わっていて、通常の修正版が出ません。

切り替え先は8.3か8.4がおすすめです（WordPressが推奨する最低ラインは8.3）。切り替え前に必ずバックアップを取ってください。古いテーマやプラグインが動かなくなったら、いったん元に戻して相談しましょう。

切り替えの手順はこちらの記事で解説しています。
→ WordPressサイトでPHPのバージョン更新を推奨された場合の手順を解説

5. 切り替え後にサイトの動きを確認する

下のチェックリストを上から順に確かめてください。

切り替え後のチェックリスト

• ☐ トップページと主なページが、スマホとパソコンで正しく表示される
• ☐ 管理画面にログインでき、投稿の編集・保存ができる
• ☐ お問い合わせフォームからテスト送信し、自動返信メールと通知メールが届く
• ☐ 予約・決済・会員ログインなどを使っている場合は、その流れが最後まで通る
• ☐ 「サイトヘルス」に新しい「重大な問題」が出ていない

念のため確認したい「あやしい兆候」

メンテナンスや待機は、被害があったという意味ではありません。ただ、次のような変化があれば、自分で直そうとせず専門家に相談してください。

• 「ユーザー」一覧に、身に覚えのない管理者がいる
• 知らないページや投稿が増えている、別のサイトに飛ばされる
• サーバー会社から「不正なファイル」「大量メール送信」などの警告が届いた

ハッキングされていないか調べる方法はこちら。→ ハッキングされているかチェックする方法

また、今回のニュースに便乗して「至急ログインして対応を」というメールが届くことがあります。メール内のリンクからではなく、いつものブックマークから管理画面に入ってください。

サーバー会社の対応状況とお知らせ（2026年10月22日 午前時点）

各社の公式お知らせへのリンクです。サーバー会社のサイト自体がメンテナンス中で開けない場合があるので、公式X（旧Twitter）の告知もあわせて載せています。

状況は時間ごとに変わります。最新の情報は各社の公式発表でご確認ください。ここにないサーバー会社をお使いの方は、契約先の「障害・メンテナンス情報」のページか公式Xをご覧ください。

VPSなどを自分で管理している方へ

PHP 8.5.12／8.4.27／8.3.36／8.2.35のいずれかにすぐ更新してください。
OSの公式パッケージで修正が出ているかを確認し、更新後はPHP-FPMやApacheを再起動します。特にApacheのmod_php構成が最も危険とされています。
すぐに更新できない場合の設定変更（緩和策）も公開されていますが、開発チームは「更新が唯一の安全な選択肢」としています。

よくある質問

Q. サイトが見られないのはハッキングされたから？
A. 多くはサーバー会社のメンテナンスによる一時的なものです。完了後も表示されないときはご相談ください。

Q. セキュリティプラグインを入れれば防げますか？
A. 今回の問題はWordPressが動き始める前の土台部分で起きるため、プラグインでは防げません。PHPの更新が必要です。

Q. PHPを新しくしたらデザインが崩れました。
A. 古いテーマやプラグインが新しいPHPに対応していない可能性があります。まずそのテーマ・プラグインを更新し、直らなければご相談ください。

今後のために：「土台」も定期的に点検しましょう

今回の件で分かったのは、WordPressの更新だけでなく、PHPという土台のバージョンも大切だということです。次の予定も覚えておいてください。

• PHP 8.2は2026年12月31日でサポート終了です。今8.2の方も、年内に8.3以降へ切り替えましょう。
• 「サイトヘルス」を月に1回見る習慣をつけると、PHPの古さや更新忘れに気づけます。
• バックアップ、2段階認証、不要なプラグインの削除など、普段の対策はこちらの記事にまとめています。

→ 関連記事：【初心者必須】WordPressのセキュリティ対策12の方法（2026年最新版）

自分でやるのが不安な方へ

「PHPのバージョンの見方が分からない」「切り替えたら表示がおかしくなった」という方は、オンラインの個別レッスンで一緒に確認します。画面を共有しながら、確認から切り替え、動作チェックまでお手伝いできます。

→ WordPressの個別レッスンの詳細・お申し込み

参考：ITmedia NEWS、Help Net Security、Make WordPress Core