2026年10月21日、ホームページを動かす仕組みの一つ「PHP（ピーエイチピー）」に、重大な脆弱性（セキュリティ上の弱点）が見つかったと公表されました。情報処理推進機構（IPA）も同じ日に注意喚起を出し、大手レンタルサーバー各社が緊急メンテナンスに入るなど、ちょっとした騒ぎになっています。

「うちのホームページは大丈夫なのか」「何か作業しないといけないのか」と不安になった経営者の方も多いと思います。

先に結論をお伝えします。レンタルサーバーでWordPressのサイトを動かしている場合、やることはPHPのバージョンによって3つに分かれます。 バージョンが新しければ「待つだけ」、少し古ければ「年内に引き上げ」、かなり古ければ「今すぐ引き上げ」です。

この記事では、宮崎市のITコンサルティング会社として私たちがお客様に案内している内容を、専門用語をできるだけ使わずにまとめました。自社のバージョンを選ぶだけで対応が分かる無料の確認ページも用意したので、あわせてご活用ください。

---

何が起きたのか：2026年10月のPHP脆弱性をやさしく解説

PHPとは：WordPressを動かしている「エンジン」

PHPは、ホームページを表示するときにサーバーの中で動いているプログラムの言語です。WordPressもPHPで作られているため、WordPressのサイトなら、ほぼ間違いなくPHPが動いています。 車でいえばエンジンのような存在で、普段は意識することがありません。

今回の脆弱性の中身

今回見つかった弱点は2件で、どちらも「ログインしていない第三者が、外からサーバーを乗っ取れるおそれがある」という深刻なものです。PHP公式サイトの発表と、IPAの注意喚起をもとに整理すると次のとおりです。

項目	内容
公表日	2026年10月21日
識別番号	CVE-2026-109618／CVE-2026-109619
深刻度	CVSS v4.0で9.2（0〜10の尺度で最も深刻な「緊急」区分）
起きうること	ログイン不要で、サーバー上で好きなプログラムを動かされる（乗っ取り）
修正版	8.5.12／8.4.27／8.3.36／8.2.35
8.1以前	公式の修正版なし（サポート終了済み）
悪用の状況	公表時点で悪用は確認されていない（IPA）

PHP公式は「完全な回避策はなく、更新することが唯一の安全な選択肢」としています。設定を少し変えて逃げる方法はなく、修正版のPHPに入れ替えるしかないということです。

出典：PHP公式サイト／IPA「PHPの脆弱性に関する注意喚起」

レンタルサーバー各社も緊急対応中

公表を受けて、大手レンタルサーバー各社はすぐに動いています。エックスサーバーは予防措置として、10月21日16時から公式サイトやサーバーパネル（管理画面）などを一時停止しました。お客様のホームページやメールは通常どおり動いていると案内しています。ConoHa WINGは10月21日19時から22日10時まで、さくらのレンタルサーバも10月21日に緊急メンテナンスを告知しました。

レンタルサーバーの場合、PHPそのものを修正するのはサーバー会社です。私たち利用者が選べるのは「どのバージョンのPHPを使うか」だけです。だからこそ、自社サイトのバージョンが何かで、やるべきことが変わります。

---

結論：やることはPHPのバージョンで3つに分かれる

PHPのバージョン	判定	やること
8.3／8.4／8.5	待つだけ	サーバー会社の修正を待つ。お知らせに追加作業の案内がないかだけ確認
8.2	年内に引き上げ	今回は修正を待てばよい。ただし年末でサポートが終わるため8.3以上へ
8.1以前（8.0・7.4など）	今すぐ引き上げ	公式の修正版がない。バックアップを取って8.3以上へ

8.3以上なら「待つだけ」でOK

8.3・8.4・8.5には修正版が出ています。レンタルサーバーであれば、サーバー会社が順次修正を当ててくれるので、利用者の作業は基本的に不要です。ただし、サーバー会社のお知らせに「お客様側の作業」が書かれる可能性はあるため、管理画面の再開後に一度お知らせを確認してください。

なお、PHP公式のサポート期間を見ると、8.3のサポートは2027年12月31日までです。次に引き上げるときは、より長く使える8.4か8.5を選ぶと安心です。

8.2は「今回は待つ。年内に引き上げ」

8.2にも今回の修正版（8.2.35）は出ているので、今回の件だけならサーバー会社の修正を待てば大丈夫です。

ただし、PHP 8.2のサポートは2026年12月31日で終了します。来年以降に同じような脆弱性が見つかっても、8.2には修正版が出ません。12月は何かと忙しくなるので、11月中に8.3以上へ引き上げておくことをおすすめします。

8.1以前は「今すぐ引き上げ」

8.1・8.0・7.4などは、すでにPHP公式のサポートが終わっており、今回の修正版がありません。サーバー会社が独自に対策をする場合もありますが、根本的な解決は引き上げしかありません。後で紹介する手順に沿って、早めに8.3以上へ移してください。

自社でサーバーを管理している場合は別

VPSや自社サーバー、クラウドなど、自分でサーバーを管理している場合は、バージョンに関係なく自分で修正版へ更新する必要があります。 サーバー会社は代わりにやってくれません。管理者や保守会社にすぐ連絡してください。

---

自社サイトのPHPバージョンを確認する方法

PHPのバージョンは、外からホームページを見ても分かりません。WordPressの管理画面か、レンタルサーバーの管理画面で確認します。

WordPressのサイトヘルスで見る（いちばん簡単）

1. WordPressの管理画面にログインする
2. 左のメニューから「ツール」→「サイトヘルス」を開く
3. 上の「情報」タブを押し、「サーバー」の項目を開く
4. 「PHP バージョン」の欄に出ている数字（例：8.3.30）の、最初の2つの数字をメモする

管理者権限のアカウントでないと表示されないことがあります。

レンタルサーバーの管理画面で見る

サーバー会社	確認する場所
エックスサーバー	サーバーパネル →「PHP Ver.切替」
ConoHa WING	サイト管理 → サイト設定 → 応用設定 →「PHPバージョン」
さくらのレンタルサーバ	コントロールパネル → スクリプト設定 →「言語バージョン設定」

画面の名前は、管理画面の更新で変わることがあります。見つからない場合は、各社のサポートページで「PHP バージョン」と検索してください。また、緊急対応中は管理画面が開けない場合があります。そのときは再開を待ってから操作してください。

確認したら、判定ページでバージョンを選ぶだけ

調べたバージョンを選ぶだけで「待つだけ／年内に引き上げ／今すぐ引き上げ」が分かる、無料の確認ページを用意しました。WordPress・エックスサーバー・ConoHa WING・さくらの確認手順も、画面の場所つきで載せています。くわしい数字（例：8.3.30）を入れると、修正版が入っているかどうかも確認できます。

---

PHPバージョンを引き上げる手順（5ステップ）

レンタルサーバーなら、引き上げ自体は管理画面でバージョンを選び直すだけです。ただし、古いテーマやプラグインが新しいPHPに対応していないと、画面が真っ白になってサイトが表示されなくなることがあります。次の順番で、1サイトずつ、アクセスの少ない時間帯に行ってください。

1. バックアップを取る：サーバーの自動バックアップがあるか確認するか、UpdraftPlusなどのプラグインでサイト全体を保存する
2. WordPress本体・テーマ・プラグインを最新にする：古いままだと新しいPHPで動かないことがある。長く更新が止まっているプラグインは代わりを探す
3. 今のバージョンをメモする：うまくいかなかったときに戻すため
4. 管理画面でPHPバージョンを切り替える：8.3以上（できれば8.4・8.5）を選んで保存する
5. 表示と動作を確かめる：トップページ、記事ページ、お問い合わせフォームの送信、WordPressの管理画面へのログインを、パソコンとスマホで確認する

エックスサーバーの場合は、サーバーパネルの「PHP Ver.切替」で対象ドメインのペンマークを押し、変更後のバージョンを選んで「設定する」を押します。

画面が真っ白になったら、慌てずに元に戻す

切り替えた後にサイトが表示されなくなっても、慌てる必要はありません。同じ管理画面で、ステップ3でメモした元のバージョンに戻せば、数分で表示が戻ります。

原因は、テーマやプラグイン、あとから追加したプログラムの書き方であることがほとんどです。ここから先は専門家の確認が必要になるので、制作会社や私たちのような専門の会社に相談してください。

私たちが実際に見た「引き上げで止まる」例

私たちが関わったあるサイトでは、PHPを8.3に引き上げた直後に、ページが表示されなくなりました。原因は、テーマに追加されていたプログラムの中に、全角の引用符（“ ”）が紛れ込んでいたことでした。古いPHPでは見逃されていた小さなミスが、新しいPHPではエラーとして止まったのです。

このように、問題は引き上げたときに初めて表に出ます。 だからこそ、バックアップと元に戻す手順を先に用意しておくことが大切です。

---

制作会社にサイトを任せている場合の確認ポイント

サイトの管理を制作会社に任せている場合は、次の3点を問い合わせてください。

• 自社サイトのPHPのバージョンはいくつか
• 今回の脆弱性（2026年10月21日公表）への対応は済んでいるか、または予定はどうなっているか
• 8.2以前の場合、引き上げの予定と費用はどうなるか

保守契約を結んでいれば、引き上げ作業も含めて対応してもらえることが多いです。保守契約がなく、制作会社と連絡がつかない場合は、まず確認ページでバージョンを調べ、自社で対応するか、専門の会社に依頼するかを決めましょう。

---

今回を機に見直したい「ホームページの守り」

今回のような脆弱性は、PHPに限らず、WordPress本体やプラグインでも毎年のように見つかります。大事なのは、騒ぎになってから慌てるのではなく、普段から「今どうなっているか」が分かる状態にしておくことです。

• PHPとWordPressのバージョンを、年に数回確認する
• 使っていないプラグインは削除する
• バックアップが自動で取られているかを確認しておく
• 誰が保守の担当なのか（社内か制作会社か）をはっきりさせておく

私たちは、こうした点検をAIで効率よく行う仕組みづくりもお手伝いしています。全ページの状態や表示速度をまとめて調べる方法は、【実録】ホームページをAIで健康診断する方法で紹介しています。

---

まとめ：まずはバージョンを確認するところから

• 2026年10月21日に、PHPの重大な脆弱性が公表された（ログイン不要で乗っ取りのおそれ）
• レンタルサーバーでは、PHPの修正はサーバー会社が行う。利用者はバージョンを選ぶだけ
• 8.3以上は「待つだけ」、8.2は「年内に引き上げ」、8.1以前は「今すぐ引き上げ」
• バージョンはWordPressのサイトヘルスか、レンタルサーバーの管理画面で確認できる
• 引き上げは、バックアップ→更新→メモ→切り替え→確認の5ステップ。真っ白になったら元に戻す

最初の一歩は、自社サイトのPHPバージョンを知ることです。確認ページでバージョンを選ぶだけで、次にやることが分かります。

「自分で触るのは不安」「どのサイトがPHPで動いているか分からない」という場合は、お気軽にご相談ください。宮崎の事業者さまを中心に、ホームページの現状確認から引き上げ作業、動かなくなったときの切り戻しまでお手伝いしています。

※本記事は2026年10月22日時点の公開情報をもとにしています。サーバー会社の対応状況や管理画面の名称は変わることがあります。最新情報は各社の公式発表をご確認ください。