PHPの脆弱性に関する注意喚起と更新対応について
2026年10月21日、PHP の公式が、重大な脆弱性（CVE-2026-109618・CVE-2026-109619）の修正版を公開しました。悪用されると、認証なしで外部から任意のコードを実行されるおそれがあります。翌22日には、IPA（情報処理推進機構）も注意喚起を出しています。WordPress は PHP で動いているため、運用中のサイトについて、サーバー会社がすでに対策しているのか、ご自身での更新が必要なのかを、確認しておくと安心です。
修正版のバージョン
- PHP 8.2 系：8.2.35 以降
- PHP 8.3 系：8.3.36 以降
- PHP 8.4 系：8.4.27 以降
- PHP 8.5 系：8.5.12 以降
- PHP 8.1 以前：公式の修正版は出ていません。事業者の対策の有無を確認し、サポート中のバージョンへの移行をご検討ください
ご利用のサーバーでの確認
- レンタルサーバー：事業者側で修正を適用している場合があります。エックスサーバーは PHP 5.6〜8.5 に、さくらのレンタルサーバは提供中の PHP に、適用済みと発表しています（2026年10月23日時点）。エックスサーバーは、利用者が急いでバージョンを変える必要はないとしています。
- VPS・ご自身で管理しているサーバー：利用者側での対応が必要です。上のバージョンへ更新するか、OS の提供元が案内する修正済みのパッケージを適用してください。
- バージョンの見方：事業者がバージョン番号を変えずに修正している場合があり、番号だけでは修正済みか判断できません。契約中の事業者の案内を、あわせてご確認ください。
サポートが終了した PHP は、PHP 公式から今後の修正を受けられません。事業者が独自に対策している場合もありますが、サポート中のバージョンへの移行をおすすめします。
IXcode で承れる作業
- PHP のバージョン更新
- 更新に伴う動作・表示の確認
- プラグインの更新
- テーマの更新
作業の前にバックアップを取り、更新後は表示を確認します。問題が出た場合の戻し方も含めて対応します。
※当サイトでは、2026年10月26日時点で、今回の脆弱性への修正が含まれる PHP 8.3.36 を使用しています。
ご相談は、お問い合わせフォームからお気軽にどうぞ。