PHPの脆弱性について：ホームページを持つ方が確認したいこと（参考情報）

■ 先に結論

• 今回の件は、サーバーに入っているPHPの欠陥です。直すのはサーバー会社で、WordPressやプラグインを更新しても直りません。
• 国内の主要なレンタルサーバーは修正を適用しています。たとえばエックスサーバーは、10月22日中に提供中のPHP 5.6〜8.5の全バージョンへ修正を適用したと発表しています。
• レンタルサーバーをお使いなら、ご自身でできることは「サーバー会社のお知らせを見る」「サイトのPHPバージョンを確認する」「古いバージョンなら切り替えを検討する」の3つです。

■ 何が公表されたか

• 10月21日夜（日本時間）、PHPの開発チームが重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を公表し、修正版 PHP 8.5.12／8.4.27／8.3.36／8.2.35 を公開しました。深刻度はいずれも最高区分（CVSS v4.0で9.2）です。
• どちらも、ログインなしで外部からプログラムを実行されるおそれがあるものです。
• 公表前に情報が漏れたことで攻撃の試行も観測され、国内では多くのサービスが予防的に一時停止しました。政府機関やIPAからも注意喚起が出ています。

■ 誰が直すのか

• レンタルサーバー（エックスサーバー、さくら、ロリポップなど）の場合：サーバー会社が修正します。利用者がPHP本体を入れ替えることはできません。
• VPSや自社サーバーの場合：サーバーを管理している側（自社または開発会社）が修正します。サーバー会社は自動では直してくれません。
• どちらの場合も、WordPressやプラグイン、テーマの更新では直りません。

■ よくある誤解

• 「WordPressを最新にすれば大丈夫」→ 直りません。PHPはサーバー側のものです。
• 「サーバー会社の管理画面に入れない＝被害に遭った」→ 予防のために管理画面を止めていた会社が多く、不正アクセスとは別です。各社の公式発表で確認してください。
• 「サイトを止めるべき」→ 公的機関が勧めているのは「すぐに修正できない場合に限った切り離し」です。レンタルサーバーで修正が適用されていれば、止める必要はありません。
• 「サーバー会社を名乗るメールが来た」→ この件に便乗したフィッシングメールの注意喚起が出ています。メール内のリンクからログインせず、公式サイトから直接ログインしてください。

■ 今回に限らず

• PHPには各バージョンにサポート期限があります（8.2は2026年末、8.3は2027年末、8.4は2028年末）。期限を過ぎると修正版が出なくなります。
• 年に一度は、PHPのバージョン、テーマ、プラグインを見直すことをお勧めします。更新が止まったプラグインや、公式ディレクトリから削除されたプラグインが残っていないかも、あわせて確認してください。
• バックアップをサーバーの外にも保存しておくと、何かあったときに戻せます。