10月21日、ホームページを動かす土台のプログラム「PHP」に、緊急度の高い脆弱性（セキュリティ上の弱点）が公表されました。WordPress で作ったホームページは、すべて PHP の上で動いています。
何が起きたのか？運用中のサイトは対象か、放っておくとどうなるか、どうすればよいかをまとめました。
新しい情報が入りしだい、本ページは更新します。
何が起きたのか？
10月21日 23時（日本時間）、PHP の開発元が、緊急度の高い脆弱性2件と、その修正版を公表しました。
悪用されると、ログインしなくても外部から、サーバーの上で不正なプログラムを動かされるおそれがあります。
情報処理推進機構（IPA）は、修正版の公表の前に出した10月21日の案内で、その時点では、この2件を悪用した攻撃は確認していないとしています。一方で、攻撃がごく短い時間で行われる可能性があるとして、修正版が出たら速やかに適用するよう呼びかけています。
ご自身のサイトは対象ですか
PHP で動いているホームページは、どれも確認が必要です。WordPress のサイトは、すべて当てはまります。
手当ての方法は、サイトが使っている PHP の版によって変わります。
- PHP 8.2 以降: 修正版（8.2.35・8.3.36・8.4.27・8.5.12）に入れ替えることで手当てできます。入れ替えをサーバー会社が行うか、お客様の側で行うかは、ご契約のサーバーによって違います
- PHP 8.1 以前: 正式な修正版は出ていません。開発元は、手当ての続いている新しい版へ上げることをすすめています
PHP の版は、サーバーの管理画面で確かめられます。
分からない場合は、弊社で確認しますので、下の窓口からサイトの URL をお知らせください。
放っておくとどうなるか？
脆弱性が残ったままになる
修正版に入れ替えるか、新しい版へ上げるまでは、外部から悪用されるおそれが残ります。
サーバー会社の切り替えで、サイトが動かなくなることがある
10月21日から、国内のレンタルサーバー各社で、緊急のメンテナンスや予防のための対応が行われています。
サーバー会社によっては、重大な脆弱性が見つかったときに、古い版の PHP の提供を予告なく終えて、新しい版へ切り替えることがあると案内しています。予告なくサイトを停止・制限することがある、と案内している会社もあります。
PHP は、版が変わると前と同じようには動かない所があります。そのため、WordPress 本体やテーマ、プラグインが古いままだと、PHP が切り替わったときに、サイトが正しく動かなくなることがあります。
どうすればよいか？
古い版の PHP を新しい版へ上げるときは、WordPress 本体・テーマ・プラグインも、新しい PHP で動く版にそろえる必要があります。PHP だけを上げると、サイトが動かなくなることがあるためです。
サイトの状態を確かめ、順番を守って更新していく作業になります。
弊社では、この作業をセキュリティ対策プランとしてお受けしています。
セキュリティ対策プラン
- 内容: WordPress 本体・テーマ・プラグイン・PHP の更新を、まとめて対応します。PHP やサーバーの脆弱性診断も入っています
- 料金: 60,000円〜（税込 66,000円〜）。1回の作業の料金で、サイトの状態により変わります
お申し込みについて
- お問い合わせフォームかお電話で、サイトの URL をお知らせください
- 弊社で、サイトの状態を確認します
- 必要な作業とお見積りをお送りします
- ご了承をいただいてから、作業に入ります
更新は基本の対策で、これだけで全部を防げるわけではありません。
サイトに合った対策も、あわせてご相談ください。
ご相談の窓口
株式会社エールシステム
お問い合わせフォーム: https://www.ailesys.co.jp/contact
お電話: 0267-25-5990（代）
参考にした情報
- PHP 公式サイト（英語）: https://www.php.net/
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
