更新
PHPの重大な脆弱性と、WordPressサイトの持ち主が確認すること
2026年10月、Webサイトを動かすプログラミング言語「PHP」に、重大な脆弱性が2件見つかりました。米国の政府機関が「すぐ対処できなければサイトをいったん止めること」まで勧め、国内でも大手サービスが緊急メンテナンスを行いました。WordPressで動くサイトをお持ちの方に向けて、いま何を確認すればいいのか、今後どうするかを整理します。
※ 2026年10月22日時点の情報です。
何が起きたのか
- PHP本体に、外部から認証なしでサーバー上のプログラムを動かされるおそれのある脆弱性が2件見つかりました。深刻度はどちらも最高レベルに近い評価です。
- PHPの開発チームは10月21日に修正版を公開しました。対象は PHP 8.2／8.3／8.4／8.5 の各系列で、修正版は 8.2.35／8.3.36／8.4.27／8.5.12 です。
- PHP 8.1以前には、公式の修正版は出ていません。 すでにサポートが終わっているためです。
- 影響を受けるのは、自分のサーバー（レンタルサーバーを含む）でPHPを動かしているサイトです。
一次情報： PHP公式の変更履歴・リリース ／ IPAのセキュリティ情報
WordPressの持ち主が誤解しやすい点
WordPressを最新にしても、今回の問題は直りません。
今回の穴はWordPressやプラグインではなく、その下で動いているPHP本体にあります。管理画面に「最新版です」と表示されていても、サーバーのPHPが古ければ影響を受けます。
一方で、多くのレンタルサーバーでは、事業者側がPHPの修正を進めています。 共用サーバーをお使いの場合は、まず契約先の告知を確認してください。慌ててサイトを触る必要はありません。
まず確認すること（3つ）
1. サイトのPHPバージョン
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」を開くと、PHPのバージョンが表示されます。
2. 契約しているサーバー事業者の告知
事業者によっては、バージョン番号が同じでも独自に修正を当てている場合があります。番号だけで判断せず、告知とあわせて確認してください。
3. 使っていない古いサイトが残っていないか
更新していない古いサイトは、乗っ取られると迷惑メールの送信や他のサイトへの攻撃の「踏み台」に使われることがあります。使っていないから放っておいていい、とはなりません。 消す、または安全な形に移す、のどちらかを検討してください。
PHP 8.1以前のサイトの場合
公式の修正版が出ていないため、選択肢は次のいずれかになります。
- PHPを新しい系列（8.2以上）に上げる — 古いテーマやプラグインが動かなくなることがあります。事前にバックアップと動作確認が必要です。
- サイトを作り変える（移行する） — PHPを上げると壊れる、テーマやプラグインの更新も止まっている、という場合は、作り変えたほうが早く、安全なこともあります。
- 使っていないなら、サイトを閉じる — ドメインやメールをどうするかを先に決めてから閉じます。
「脱WordPress」は必要か
今回の件をきっかけに、WordPressをやめて、静的サイトやクラウド型のCMSに移ることを勧める声が増えています。ただ、すべてのサイトが今すぐ移行すべき、というわけではありません。
| サイトの状態 | おすすめの方向 |
|---|---|
| 毎日・毎週記事を更新している、WordPressの機能を使いこなしている | WordPressを続け、PHP・本体・プラグインの更新を確実に回す |
| ほとんど更新しない会社案内・お店のサイト・LP | 静的サイトへの移行が向いている（PHPを動かさないので、今回のような問題を抱えにくい） |
| 一部だけ（お知らせ・実績など）を自分で更新したい | 静的サイト＋クラウド型CMSの組み合わせ |
| 古いまま放置している、使っていない | 閉じるか、静的サイトにして残す |
判断の目安は、「更新を続ける手間」と「移行する手間」のどちらが小さいかです。
移行するときに気をつけること
移行はAIツールの助けで以前よりずっと手軽になりましたが、次の点は見落とされがちです。
- メールが止まる：ドメインの設定（DNS）を切り替えるとき、メールの設定を移し忘れると、会社のメールが届かなくなります。
- 検索順位が落ちる：ページのURLが変わる場合、古いURLから新しいURLへの転送を設定しないと、検索からの流入が途切れます。
- お問い合わせフォーム：迷惑メール対策と、確実に届くかのテストが必要です。
- 料金の見張り：クラウドサービスの中には使った分だけ課金されるものがあります。静的サイトなら通常は心配ありませんが、機能を足すときは利用量の確認が必要です。
- 写真・画像：古いサイトの写真は画質が足りないことが多く、移行を機に見直すと見違えます（ホームページ用の写真撮影）。
自分でやるか、任せるか
小さなサイトなら、ご自身で移行することもできる時代です。一方で、「時間が取れない」「メールや検索順位で失敗したくない」「移行したあとも相談できる相手がほしい」という方もいらっしゃると思います。
アプリンク デザインでは、次のような形でお手伝いしています。
- WordPress無料診断：PHPのバージョン、WordPress・プラグインの更新状況、移行が向いているかを診断し、レポートでお送りします。→ WordPress無料診断
- ホームページのリニューアル：既存サイトの内容を活かして作り変えます。→ Web制作・リニューアル
- 新規サイト制作（Astro＋microCMS＋Cloudflare）：公開サイトでPHPを動かさない構成で、決めた部分だけご自身で更新できます。→ 新規サイト制作のご案内
- 写真撮影：移行にあわせて、代表者・スタッフ・店舗・商品の写真を撮り直せます。→ 写真撮影
まとめ
- 今回の問題はPHP本体。WordPressの更新だけでは直らない
- まずはPHPのバージョンと、サーバー事業者の告知を確認
- PHP 8.1以前・放置サイトは、更新・移行・閉鎖のどれかを選ぶ
- 移行は手軽になったが、メール・検索順位・フォームには注意