何が起きたか(2026年10月22日時点)
ログイン不要で外部からサーバーを乗っ取られるおそれのある脆弱性が、PHPに2件見つかりました(CVE-2026-109618/CVE-2026-109619・深刻度 CVSS v4.0で9.2)。10月21日に修正版が公開されています。PHP公式は「完全な回避策はなく、更新が唯一の安全な選択肢」としています。現時点で悪用の確認はされていません(IPA)。
8.5.128.4.278.3.368.2.35
修正版(この番号以降が修正済み)。8.1以前には公式の修正版はありません。
出典:PHP公式(php.net)/IPA 注意喚起/PHPのサポート期間
STEP 1自社サイトのPHPバージョンを調べる
PHPのバージョンは、外からホームページを見ても分かりません。WordPressの管理画面か、レンタルサーバーの管理画面で確認します。いちばん簡単なのはWordPressのサイトヘルスです。
ツール›サイトヘルス›情報›サーバー
- WordPressの管理画面にログインします。
- 左のメニューから「ツール」→「サイトヘルス」を開きます。
- 上の「情報」タブを押し、「サーバー」の項目を開きます。
- 「PHP バージョン」の欄に 8.3.30 のような数字が出ています。最初の2つの数字(例:8.3)をメモしてください。
管理者権限のアカウントでないと表示されないことがあります。制作会社にサイトを任せている場合は、この画面を見てもらうか、下の判定結果をそのまま伝えてください。
サーバーパネル›PHP Ver.切替
- サーバーパネルにログインします。
- 「PHP」の欄にある「PHP Ver.切替」を開きます。
- ドメインごとに、現在のPHPバージョンが表示されます。
エックスサーバー公式マニュアルの手順です。新旧の管理画面で見た目が異なる場合があります。
エックスサーバーは今回の件の予防措置として、10月21日16時から公式サイト・サーバーパネルなどを一時停止しています(ホームページとメールは通常どおり動いています)。パネルが開けないときは再開を待ってください。再開後にお客様側の追加作業が案内される可能性もあります。
サイト管理›サイト設定›応用設定›PHPバージョン
- ConoHaのコントロールパネルにログインし、上部の「WING」を選びます。
- 「サイト管理」→ 対象のサイト →「サイト設定」→「応用設定」を開きます。
- 「PHPバージョン」の欄で現在のバージョンを確認できます。
画面名は変更されることがあります。見つからない場合は、ConoHaのサポートページで「PHPバージョン」と検索してください。
ConoHaは10月21日19時〜22日10時に緊急のサーバーメンテナンスを予定していると告知しています。
コントロールパネル›スクリプト設定›言語バージョン設定
- さくらのレンタルサーバのコントロールパネルにログインします。
- 「スクリプト設定」→「言語バージョン設定」を開きます。
- PHPのバージョンが表示されます。
画面名は変更されることがあります。見つからない場合は、さくらのサポートサイトで「PHP バージョン」と検索してください。
さくらインターネットは10月21日に、レンタルサーバ等の緊急メンテナンスを告知しています。
STEP 2バージョンを選んで判定する
STEP 1で調べたバージョン(最初の2つの数字)を押してください。
ここに判定が表示されます
※自社でサーバーを管理している場合(VPS・自社サーバー・クラウドなど)は、バージョンに関係なく自分で修正版へ更新する必要があります。サーバーの管理者・保守会社にすぐ連絡してください。
STEP 3引き上げが必要なときの手順
レンタルサーバーなら、管理画面でバージョンを選び直すだけです。ただし、古いテーマやプラグインが新しいPHPに対応していないと、画面が真っ白になることがあります。次の順番で、1サイトずつ、アクセスの少ない時間帯に行ってください。
バックアップを取る
サーバーの自動バックアップの有無を確認するか、UpdraftPlusなどのプラグインでサイト全体を保存します。
WordPress本体・テーマ・プラグインを最新にする
古いままだと新しいPHPで動かないことがあります。長く更新が止まっているプラグインは、代わりを検討します。
今のバージョンをメモする
うまくいかなかったときに戻すためです(サイトヘルスの画面で確認できます)。
管理画面でPHPバージョンを切り替える
STEP 1と同じ画面で、8.3以上(できれば8.4・8.5)を選んで保存します。エックスサーバーは対象ドメインのペンマークから変更後のバージョンを選び「設定する」を押します。
表示と動作を確かめる
トップページ・記事ページ・お問い合わせフォームの送信・WordPressの管理画面へのログインを、パソコンとスマホで確認します。
画面が真っ白になったら:慌てずに、同じ管理画面でSTEP 3でメモした元のバージョンに戻してください。数分で元に戻ります。原因はテーマやプラグイン、独自に追加したプログラムの書き方であることが多く、専門家の確認が必要です。
よくある質問
- レンタルサーバーなら、何もしなくても大丈夫ですか?
- 8.3以上なら、修正はサーバー会社が行います。お客様の作業は基本的に不要ですが、サーバー会社のお知らせに「お客様側の作業」が書かれていないかは確認してください。8.2以前の場合は引き上げが必要です。
- 8.2でも修正版が出ているのに、なぜ引き上げが必要なのですか?
- PHP 8.2のサポートは2026年12月31日で終わります。それ以降に同じような脆弱性が見つかっても、修正版は出ません。今回の件を機に、年内に8.3以上へ移しておくのがおすすめです。
- 制作会社にサイトの管理を任せています。
- このページの判定結果を伝え、「PHPのバージョンと、今回の脆弱性への対応状況」を確認してください。保守契約がある場合は、引き上げ作業も依頼できることが多いです。
- WordPress以外のサイトも関係ありますか?
- PHPで動いているサイトや業務システムなら関係があります。PHPを使っているかどうか分からない場合は、制作会社やサーバーの管理者に確認してください。
「自分で触るのは不安」「どのサイトがPHPで動いているか分からない」
そんなときは、ご相談ください。
宮崎県内(宮崎市ほか)の事業者さまを中心に、ホームページの現状確認から、PHPの引き上げ、動かなくなったときの切り戻しまでお手伝いします。AIを使ったサイトの健康診断や、日々の保守の仕組みづくりもご相談いただけます。
無料相談する