「WordPressは自動で更新されているので、サイトのソフトは新しいはずです」と言われることがあります。ただ、WordPressの更新で新しくなるのは、WordPress本体やプラグインまでです。その下で動いている「PHP」というプログラムは、WordPressの更新では新しくなりません。
そのPHPで、2026年10月21日に深刻な脆弱性を直す緊急の修正版が公開されました。また、PHP 8.2は、2026年12月31日にセキュリティサポートが終わります。この記事では、PHPとWordPressの関係、今回の修正版の要点、サポート期限までに何を確認し、どう切り替えればよいかを整理します。
チェックポイント
- PHPは、WordPressを動かしているプログラムです。WordPressの自動更新では新しくなりません。
- 2026年10月21日、PHPの開発元が、認証なしで外部からプログラムを実行されるおそれのある脆弱性2件を直した修正版（8.2.35、8.3.36、8.4.27、8.5.12）を公開しました。
- JPCERT/CCは、悪用を試みる通信を観測したとの報告が相次いでいるとして、注意を呼びかけています。
- PHP 8.2のセキュリティサポートは2026年12月31日で終わります。それ以降は、脆弱性が見つかっても開発元から修正版が出ません。
- WordPressの公式サイトは、PHP 8.3以上を推奨しています。切り替えの前には、テーマやプラグインが新しいPHPで動くかを確かめる必要があります。
PHPとWordPressの関係
PHPは、Webサーバーの上でプログラムを動かすための言語と、その実行環境です。WordPressはPHPで書かれているので、サーバーにPHPが入っていないと動きません。WordPress本体、テーマ、プラグインはすべて、サーバーのPHPの上で動いています。
ここで誤解されやすいのが、更新の担当です。WordPress本体やプラグインは、管理画面から更新でき、自動更新も設定できます。一方、PHPはサーバー側のソフトです。レンタルサーバーでは、サーバー会社が修正版を当てる部分と、利用者が管理画面でバージョン（8.2、8.3など）を選ぶ部分に分かれていることが一般的です。どこまでをサーバー会社が行うかは契約先によって違うので、サーバー会社の案内で確認してください。
今回の脆弱性について、WordPressの公式サイトも「WordPress固有の問題ではなく、PHPのアプリケーションを動かすすべてのサーバーに影響する。WordPress側の更新は必要なく、予定もない」という趣旨を案内しています。つまり、WordPressを最新にしていても、PHPが古ければ対策にはなりません。
10月21日に公開されたPHPの修正版
2026年10月21日、PHPの開発元は、深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。2件は「PHP2Shell」とも呼ばれています。開発元の発表では、どちらも深刻度は「Critical（緊急）」で、認証なしで外部からプログラムを実行される（リモートコード実行）おそれがあるとされています。また「完全な回避策はなく、更新することが唯一の安全な選択」とも書かれています。
| 系列 | 修正版 | 影響を受けるバージョン |
|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.12より前 |
| PHP 8.4 | 8.4.27 | 8.4.27より前 |
| PHP 8.3 | 8.3.36 | 8.3.36より前 |
| PHP 8.2 | 8.2.35 | 8.2.35より前 |
| PHP 8.1以前 | 開発元からの修正版なし | サポートが終了している |
国内では、JPCERT/CC（JPCERTコーディネーションセンター）が10月22日に注意喚起を出しました。悪用できると主張する実証コードが多数公開されていること、悪用を試みる通信を観測したとの報告が相次いでいることを伝えています。IPA（情報処理推進機構）も10月22日に注意喚起を出しています。IPAによると、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は10月26日（現地時間）に、この2件を「悪用が確認された脆弱性」の一覧に加えました。一方、IPAは国内での被害事例は把握していないとしています（11月2日更新時点）。
注意したいのは、PHP 8.1以前です。開発元のサポートがすでに終わっているので、通常の修正版は出ていません。WordPressの公式サイトは、自分でサーバーを運用していてPHP 8.2より古い版を使っている場合、新しい版に切り替える準備の間、サーバーをいったん止めることも検討するよう呼びかけています。
PHP 8.2のサポートは12月31日まで
PHPの各バージョンは、公開から2年間は不具合と脆弱性の両方が直される「アクティブサポート」の期間です。その後の2年間は、重大な脆弱性だけが直される「セキュリティサポート」の期間になります。合わせて4年が過ぎると、サポートが終了します。開発元は、サポートが終了した版を使い続けると、修正されない脆弱性にさらされるおそれがあるとして、早めの切り替えを求めています。
| バージョン | アクティブサポート | セキュリティサポート |
|---|---|---|
| PHP 8.2 | 2024年12月31日で終了 | 2026年12月31日まで |
| PHP 8.3 | 2025年12月31日で終了 | 2027年12月31日まで |
| PHP 8.4 | 2026年12月31日まで | 2028年12月31日まで |
| PHP 8.5 | 2027年12月31日まで | 2029年12月31日まで |
PHP 8.2は、2027年1月以降に新しい脆弱性が見つかっても、開発元からは修正版が出ません。今回のような深刻な脆弱性が年明けに見つかった場合、8.2のままでは直す手段が限られます。サーバー会社が独自に対応する場合もありますが、それを前提にするより、期限の前に新しい版へ移っておくほうが確実です。
どのバージョンに切り替えるか
WordPressの公式サイトは、PHP 8.3以上を推奨しています。WordPressの開発者向け資料（2026年11月4日更新）では、WordPress 7.0と7.1は、PHP 8.2から8.5まで対応していると整理されています。
ただし、これはWordPress本体の話です。テーマやプラグインが新しいPHPに対応しているかは、それぞれの作り手しだいです。古いプラグインや、何年も前に作った独自のテーマでは、PHPを切り替えた途端に画面が真っ白になる、一部の機能が動かなくなる、といったことが起こり得ます。
| 切り替え先 | 考え方 |
|---|---|
| PHP 8.3 | 8.2の次の系列で、切り替えの影響を比較的抑えやすい。セキュリティサポートは2027年12月31日までなので、1年後にまた見直しが必要 |
| PHP 8.4 | セキュリティサポートが2028年12月31日まであり、しばらく安心して使える。テーマやプラグインの対応状況の確認がより大切 |
| PHP 8.5 | セキュリティサポートが2029年12月31日まで続く系列。サポート期間は長いが、古いプラグインが対応していないことがある |
どれを選ぶかは、サイトで使っているテーマとプラグインによって決まります。迷った場合は、テーマとプラグインの対応状況を確かめたうえで、対応していれば8.4、不安が残る場合はまず8.3に移り、時間をかけて次の切り替えを準備する、という進め方が現実的です。ちなみに、PHPの新しいバージョン8.6の正式版が2026年11月19日に公開予定となっています。こちらは、新機能や機能改善を含む最新の系列ですが、公開後すぐに切り替える必要はありません。WordPress本体ではPHP 8.6への対応が進められているものの、テーマやプラグイン、レンタルサーバー側の対応状況も確認する必要があります。
切り替えの進め方
今のPHPのバージョンを確かめる
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと、サイトが使っているPHPのバージョンが分かります。サーバー会社の管理画面でも確認できることが多いです。「8.2.35」のように、末尾の数字まで控えておくと、修正版が当たっているかも判断できます。
バックアップを取り、テスト用の環境で試す
切り替えの前に、サイトのファイルとデータベースのバックアップを取ります。サーバー会社によっては、サイトの複製（ステージング環境）を作れる機能があります。まず複製のほうでPHPを切り替え、トップページ、お問い合わせフォーム、記事の投稿や画像のアップロードなど、普段使う機能を一通り試します。
本番を切り替え、元に戻す方法を用意しておく
本番のサイトは、問い合わせの少ない時間帯に切り替えます。多くのレンタルサーバーでは、管理画面でPHPのバージョンを元に戻せます。何かあったときにすぐ戻せるよう、切り替える前の設定を控えておきましょう。切り替えた後は、数日間、表示の崩れやフォームの送信、エラーのメールなどに気を配ります。
速やかに確認しておくこと
- サイトヘルスやサーバーの管理画面で、PHPのバージョンを末尾の数字まで確認する
- 8.2.35、8.3.36、8.4.27、8.5.12より前の版なら、サーバー会社の案内を確認し、修正版への更新や設定の変更を行う
- PHP 8.1以前を使っている場合は、優先して新しい版への切り替えを進める
- PHP 8.2を使っている場合は、2026年12月31日までに8.3以上へ切り替える計画を立てる
- 使っているテーマとプラグインが、切り替え先のPHPに対応しているかを確かめる
- バックアップを取り、テスト用の環境で動作を確かめてから本番を切り替える
- 複数のサイトや、サーバーを自社で管理している場合は、すべてのサーバーで同じ確認をする
年末にはサーバー環境チェックを
WordPressのサイトは、WordPress本体、テーマ、プラグイン、そしてPHPやサーバーが組み合わさって動いています。本体やプラグインの更新に気を配っていても、PHPは目に入りにくく、気づくと何年も同じ版のまま、ということが起こりがちです。今回の緊急の修正版と、年末のPHP 8.2のサポート終了は、サイトの足元を確かめるよい機会です。
エディトルでは、WordPressサイトの保守として、脆弱性情報を毎日収集し、WordPressの修正版がリリースされたら自動更新を待たずに管理対象の全サイトを手動で速やかに更新しています。バックアップは日次30日分・月次12か月分を保管しています。PHPのバージョンの確認や、テーマ・プラグインの対応状況の調査、切り替えの作業についてもご相談いただけます。他社が制作したサイトの保守のみのご依頼もお受けしています。保守の内容については「サイトの保守費は何に使われているのか」でも紹介しています。お気軽にお問い合わせください。