Web制作コラム

PHPの脆弱性（2026年10月）｜サイトの管理会社に確認すること・依頼先がない場合

トラブル対処2026.10.22

2026年10月に修正版が出たPHPの重大な脆弱性について、自社のサイトが対応済みかを確かめる手順と、サイトを管理している会社に確認したいことをまとめました。管理会社がいない、連絡がつかない場合の対応も紹介します。

PHPの開発チームは、日本時間の2026年10月21日23時、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正した版を公開しました。WordPressをはじめ、PHPで動いているサイトの多くが対象になり得ます。

脆弱性の中身や、修正版が出るまでの応急処置は、別の記事にまとめています。この記事では「自社のサイトは大丈夫か」を確かめるために、何を見て、誰に何を聞けばよいかを整理します。

まず自社で確認できること：PHPのバージョン

WordPressのサイトなら、管理画面から今のPHPのバージョンを確認できます。

WordPressの管理画面にログインする
「ツール」→「サイトヘルス」を開く
「情報」タブの「サーバー」を開く
「PHPバージョン」の欄を見る

使っている系統	修正済みの版
PHP 8.2	8.2.35 以降
PHP 8.3	8.3.36 以降
PHP 8.4	8.4.27 以降
PHP 8.5	8.5.12 以降
PHP 8.1 以前	公式の修正版なし（サポート対象の版への切り替えが必要）

※ 横にスクロールできます

表示されている番号が上の表より古くても、レンタルサーバー会社が独自に修正を入れている場合があります。逆に、8.1以前を使っている場合は、サーバー会社が修正を入れていても、サポートが終わった版であることに変わりはありません。

サーバー会社と管理会社で、誰が何をするのか

「サーバー会社が対応しているから大丈夫」とは限りません。共用のレンタルサーバーでも、PHPの版の切り替えや、テーマ・プラグインが新しい版で動くかの確認は、サイトの持ち主か、サイトを管理している会社の仕事です。

作業	レンタルサーバー（共用）	VPS・専用サーバー
PHPの修正版の適用	サーバー会社	サイト側（管理会社）
PHPの版の切り替え（8.1 → 8.3 など）	サイト側（サーバーの管理画面で切り替え）	サイト側
テーマ・プラグインが動くかの確認	サイト側	サイト側
WordPress本体・プラグインの更新	サイト側	サイト側

※ 横にスクロールできます

例として、エックスサーバーは10月22日6時45分時点で、PHP 8.2〜8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したと案内しています。この案内には8.1以前は含まれていないため、8.1以前を使っているサイトは、サイト側で版を切り替える必要があります。

サイトの管理会社・保守会社に確認すること

サイトの制作会社や保守会社がいる場合は、次のことを確認しておくと安心です。連絡が来ていない場合は、こちらから問い合わせてみてください。

今のPHPのバージョンと、10月21日に公開された修正が適用されているか
8.1以前を使っている場合、サポート中の版へいつ切り替えるか
切り替えの前に、テスト環境などで表示や問い合わせフォームの動作を確かめるか
作業の前にバックアップを取り、問題が出たら元に戻せるか
WordPress本体・プラグインの更新が止まっていないか
対応にかかる費用と、完了の予定日

問い合わせの文例

メール

〇〇株式会社
〇〇様

いつもお世話になっております。
10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）について、
弊社サイト（https://example.com/）の対応状況を教えていただけますでしょうか。

・現在のPHPのバージョンと、修正の適用状況
・対応が必要な場合の内容、費用、完了の予定日

お手数ですが、よろしくお願いいたします。