PHP の開発チームは日本時間の 2026年10月21日 23時、重大な脆弱性 2 件を修正した版を公開しました。

PHP は WordPress を動かしている言語なので、WordPress のサイトはほぼすべてがこの話の対象になり得ます。この記事は、修正版の公開を受けて 10月21日に内容を更新しています。

深刻度は CVSS 9.2 の「緊急」

CVSS（共通脆弱性評価システム）は、脆弱性の深刻さを 0〜10 の数字で表す世界共通の物差しです。攻撃にネットワーク越しで届くか、ログインが必要か、成功したときに何をされるか、といった項目から計算します。数字が大きいほど深刻です。

今回の 2 件は、PHP の開発チームの発表で、どちらも最新の CVSS v4.0 で 9.2 です。最も重い「緊急」に当たります。ニュースによっては 10.0 とするものもありますが、開発チームが示している値は 9.2 です。

9 以上になるのは多くの場合、ログインなしに外から攻撃でき、成功するとサーバーを乗っ取られる種類の脆弱性です。今回も公式の勧告で、外部から任意のプログラムを実行される（リモートコード実行）恐れがあるとされています。

分かっていること（10月21日 修正版の公開時点）

• 識別番号は CVE-2026-109618 と CVE-2026-109619
• 修正版は 8.2.35・8.3.36・8.4.27・8.5.12。これより前の版は影響を受ける
• 8.1 以前向けの公式の修正版は出ていない。開発チームは修正の差分を示しているが、取り込むかどうかはサーバー会社や配布元次第
• 公式の勧告では、完全な対策は修正版への更新だけとされている
• 悪用できるとするコードが、インターネット上に出回っているとの情報がある
• レンタルサーバー各社では、予防のために管理画面などを一時的に止める動きが出ている

WordPressサイトで今のうちに確認したいこと

1. PHP のバージョン。WordPress の管理画面の「ツール > サイトヘルス > 情報 > サーバー」で確認できます
2. そのバージョンが修正版か。8.2.35・8.3.36・8.4.27・8.5.12 以上なら修正済みです。8.1 以前には公式の修正版がありません
3. サーバーの種類。レンタルサーバー（共用）か、自社で管理するサーバー（VPS など）か

レンタルサーバーなら、更新はサーバー会社が行う

共用のレンタルサーバーでは、PHP 本体を入れ替えるのはサーバー会社です。サイトの持ち主や制作会社がパッチを当てる必要は、基本的にありません。

VPS や専用サーバーなど、自社でサーバーを管理している場合は、自分たちで修正版に更新します。

古いPHP（8.1以前）を使っている場合は要注意

PHP 8.1 は 2025年12月末で、開発チームのサポートが終わっています。今回も 8.1 向けの公式の修正版は出ていません。サーバー会社が独自に修正を入れるかどうか次第で、修正が届かない恐れがあります。

8.1 以前を使っている場合は、これを機に 8.3 などサポート中の版へ切り替えることをお勧めします。多くのレンタルサーバーでは、管理画面からドメインごとに切り替えられます。

切り替えは簡単ですが、古いプラグインやテーマ、独自のカスタマイズが新しい PHP で動かず、画面が真っ白になることがあります。作業の前にバックアップを取り、プラグインを更新してから切り替え、表示とフォームの送信を確かめてください。不具合が出ても、同じ画面ですぐに元の版へ戻せます。

すぐに更新できない場合の応急処置｜session.upload_progress.enabled

公式の勧告では、2 件のうち CVE-2026-109619 について、PHP の「セッションのアップロード進捗」という機能を無効にすると、実際に示された攻撃の流れを防げるとしています。ファイルをアップロードするときの進み具合をセッションに記録する機能で、初期設定では有効になっています。

WordPress の標準の機能はこの仕組みを使っていないため、多くのサイトでは無効にしても表示や動作に影響はありません。無効にするには、php.ini に次の 1 行を書きます。

session.upload_progress.enabled = Off

• この設定は、PHP のプログラムの中（ini_set）からは変えられません。php.ini か、サーバーによっては .user.ini で設定します
• レンタルサーバーでは、サーバーの管理画面の「php.ini 設定」などから変更できることが多いです
• 設定したら、管理画面のサイトヘルスなどで反映されたかを確かめてください

これは部分的な緩和で、完全な対策ではありません。公式の勧告も、ほかの攻撃の経路や、もう 1 件の CVE-2026-109618 には効かないとしています。修正版への更新を早めに行ってください。なお勧告では、この機能はほとんど使われていないため、更新したあとも不要なら無効のままにすることが勧められています。

応急処置についての注意

• この設定で防げるのは、公式の勧告で示された攻撃の一部だけです。設定しただけで安全になったとは考えず、修正版への更新を進めてください
• アップロードの進み具合を表示するプラグインや独自の機能を使っている場合は、その表示が動かなくなることがあります
• 変更する前に元の設定を控えてください。サーバーの設定の変更はご自身の責任で行い、分からない場合はサーバー会社や制作会社にご相談ください

ワプラボでお手伝いできること

WordPress サイトの PHP のバージョンアップを代行しています。テスト環境で動作を確かめ、動かないプラグインやテーマを洗い出してから、本番の PHP を切り替えます。他社が制作したサイトにも対応します。