結論
PHPのセキュリティリリースとは、PHPの開発チームが脆弱性を直した新しい版を公開することです。2026年10月21日（日本時間23時）のリリースでは、深刻度9.2（CVSS v4.0、10点満点）の脆弱性2件が修正され、8.5.12・8.4.27・8.3.36・8.2.35が公開されました。WordPressなどPHPで動くサイトは、サーバーのPHPが修正版に上がっているかを確認してください。サポートが終わったPHP 8.1以前には公式の修正版が出ないため、8.3以上への移行が必要です。
ホームページの多くは、PHP（ピー・エイチ・ピー）というプログラミング言語で動いています。WordPressもPHPで作られているため、WordPressのサイトは、サーバーに入っているPHPの安全性に左右されます。
PHPの開発チームは2026年10月20日、「重大なセキュリティリリース」を事前に告知しました。告知の段階では内容を伏せ、「すべての利用者は、公開されたらすぐ更新できるよう準備してほしい」と呼びかけていました。公開されたのは、ログインなしで外部からサーバー上のプログラムを動かされる恐れのある脆弱性です。この記事では、公開された内容と、自社サイトで確認すべきことを、専門知識がない方にも分かるように説明します。
何が発表されたのか
| 項目 | 内容 |
|---|---|
| 事前告知 | 2026年10月20日（PHP公式サイトのニュース） |
| 公開日時 | 2026年10月21日 14:00（UTC）＝日本時間23:00 |
| 修正された脆弱性 | 2件。いずれも深刻度9.2（CVSS v4.0） |
| 修正版 | 8.5.12・8.4.27・8.3.36・8.2.35 |
| 公式の呼びかけ | すべての利用者に、公開後すぐの更新を推奨 |
事前告知では、脆弱性の内容が公になった場合や、実際に悪用された形跡が見つかった場合は、予定より早く公開することもあると書かれていました。実際には予定どおり、10月21日に公開されました。
修正された2件の脆弱性
| 識別番号 | どんな問題か | 起きうること | 対象 |
|---|---|---|---|
| CVE-2026-109618 （メモリ不足時の処理の不具合） |
メモリ不足でPHPの処理が中断されたとき、準備が途中の内部データを、後片付けの処理が正しいものとして扱ってしまう | ログインなしの通信で、Webサーバーの権限でプログラムを実行される恐れ | 8.2.35・8.3.36・8.4.27・8.5.12より前の版 |
| CVE-2026-109619 （前の処理の情報が残る不具合） |
1つのリクエストが終わった後も、すでに解放したメモリを指す内部情報が残り、同じプロセスが次のリクエストで使ってしまう | 同上。メモリの中身が漏れる恐れもある | 8.2.35・8.3.36・8.4.27・8.5.12より前の版 |
どちらも、ログインなどの認証なしで、外部からの通信だけで攻撃できる可能性がある「リモートコード実行（RCE）」の脆弱性です。成功すると、Webサーバーの権限でサーバー上のプログラムを動かされ、サイトの改ざんや情報の持ち出しにつながる恐れがあります。PHP公式は、ApacheにPHPを組み込む方式（mod_php）で最も危険が高いとし、この方式では、サイトのプログラムが動く前の段階で攻撃が成立する例を確認したとしています。nginxなどと組み合わせて使われるPHP-FPMでも、2件目の脆弱性で攻撃の成立が確認されています。対象はPHP-FPM・mod_php・php-cgi・FrankenPHP・LiteSpeedなど、Webのリクエストを処理するすべてのPHPです。一方で、攻撃の難しさは「高い」と評価されており、条件がそろわないと成功しにくい面もあります。
「深刻度9.2」はどのくらい危ないのか
CVSS（シー・ブイ・エス・エス）は、脆弱性の深刻さを0〜10点で表す世界共通の物差しです。今回使われている最新のCVSS v4.0では、点数ごとに次のように分類されます。
| 点数 | 分類 |
|---|---|
| 9.0〜10.0 | 緊急（Critical） |
| 7.0〜8.9 | 重要（High） |
| 4.0〜6.9 | 警告（Medium） |
| 0.1〜3.9 | 注意（Low） |
9.2は最も重い「緊急」に入ります。PHPの開発チームが内容を伏せたまま事前に告知したのも、この深刻さのためです。ただし、点数は「最悪の場合にどれだけ危ないか」の目安です。実際に影響を受けるかどうかは、サイトの作りや使っている機能によって変わります。今回の2件は、攻撃の難しさが「高い」と評価されているため9.2にとどまっていますが、認証は不要で、成功したときの影響（情報の漏えい・改ざん・停止）はすべて最大と評価されています。
対象になるのはどのサイトか｜PHPのバージョン別の状況
PHPには、同時に複数の系列（8.2・8.3・8.4・8.5など）があり、それぞれにサポート期限があります。今回の修正版が出たのは、サポート中の系列だけです。
| 系列 | 今回の修正版 | サポートの状況（PHP公式） |
|---|---|---|
| PHP 8.5 | 8.5.12 | 通常サポート中（セキュリティ修正は2029年12月31日まで） |
| PHP 8.4 | 8.4.27 | 通常サポート中（セキュリティ修正は2028年12月31日まで） |
| PHP 8.3 | 8.3.36 | セキュリティ修正のみ（2027年12月31日まで） |
| PHP 8.2 | 8.2.35 | セキュリティ修正のみ（2026年12月31日で終了） |
| PHP 8.1以前 | 公式の修正版なし（自分でビルドする人向けに、7.4・8.0・8.1用の最小限の修正を公開） | サポート終了（8.1は2025年12月31日、8.0は2023年11月26日、7.4は2022年11月28日） |
注意が必要なのは2つです。1つ目は、PHP 8.1以前のサイトです。サポートが終わっているため公式の修正版は出ません。PHP公式は今回、深刻さを考えて7.4・8.0・8.1向けに最小限の修正を公開しましたが、自分でPHPを組み立てる（ビルドする）人向けのものです。一部のOSの配布元や長期サポートを行う会社が修正を提供する場合もありますが、基本は8.3以上への移行が必要です。2つ目は、PHP 8.2のサイトです。今回は修正版が出ましたが、2026年12月31日でサポートが終わるため、年内に8.3以上へ移る計画が必要です。WordPressの公式サイトも、PHP 8.3以上を推奨しています。
自社サイトで確認する3つの手順
手順1：いまのPHPのバージョンを調べる
WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPバージョン」の欄に「8.4.26」のような番号が表示されます。レンタルサーバーの管理画面の「PHP設定」などでも確認できます。
手順2：修正版になっているかを見る
番号の最後の数字まで確認します。たとえばPHP 8.4なら、8.4.27以上が修正版です。「8.4」だけで判断しないでください。8.4.26は、今回の修正が入っていない版です。
手順3：修正版でなければ、更新を依頼するか自分で更新する
誰が更新するかは、サーバーの種類で変わります。
| サーバーの種類 | 修正版を入れるのは | やること |
|---|---|---|
| 共用のレンタルサーバー | 多くの場合はサーバー会社 | サーバー会社のお知らせを確認。管理画面でPHPの系列（8.3以上）を選ぶ |
| WordPress専用の管理型サービス | サービス会社 | お知らせを確認。古い系列を使っていれば切り替える |
| VPS・クラウドサーバー（自社で管理） | 自社または制作会社 | OSのパッケージ更新などで修正版を入れ、PHPを再起動する |
| 制作会社に保守を任せている | 制作会社（契約による） | 保守契約に「PHPの更新」が含まれているかを確認し、対応を依頼する |
すぐに更新できないサーバー（自社で管理するVPSなど）向けに、PHP公式は被害を減らす設定（session.upload_progress.enabled=0 など）も示しています。ただし公式は「完全な対策は更新だけ」としています。また、CentOS・RHEL系のサーバーでRemiのリポジトリ（rpms.remirepo.net）からPHPを入れている場合、公式は「この日の更新はない」として、OS標準のパッケージへの切り替えか、自分でのビルドを求めています。
PHPの系列を上げる（8.1→8.3など）ときは、テーマやプラグインが新しい系列に対応していないと、画面が表示されなくなることがあります。先にバックアップを取り、できれば本番と同じ環境の試験サイトで表示を確かめてから切り替えてください。WordPress本体やプラグインの更新の進め方は、WordPressの更新方法｜放置サイトの安全な復旧手順で解説しています。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
PHPを使わないサイトの選択肢
今回のような更新に、毎回対応するのが負担だと感じる会社もあると思います。PHPを使わずにサイトを運営する方法は、大きく分けて4つあります。ただし、どの方法でも「更新が要らなくなる」わけではありません。誰が更新を受け持つかが変わる、と考えてください。
| 選択肢 | 具体例 | サーバーの更新 | 向いている会社 | 注意点 |
|---|---|---|---|---|
| ノーコードのサイト作成サービス | STUDIO、Wix、Webflow、ペライチ | サービス会社が行う | 社内で文章や写真を更新したい会社 | デザインや機能はサービスの範囲内。別の仕組みへの引っ越しに手間がかかる |
| 静的サイト（HTMLだけで表示） | Astro・Hugoなどで作り、Cloudflare Pages・Netlifyなどに置く | サーバー側でプログラムが動かないため、狙われる場所が少ない | 更新の頻度が低い会社、表示速度を重視する会社 | 文章の更新に制作の知識が要る。問い合わせフォームは外部サービスを使う |
| ヘッドレスCMS＋静的サイト | microCMS、Contentful、Sanityなどで記事を管理し、表示は静的サイト | CMSはサービス会社、表示側は制作会社 | 記事を頻繁に出しつつ、安全性も高めたい会社 | 最初の構築費用が高め。制作会社の協力が前提 |
| PHP以外の言語のCMS | Ghost（Node.js）、Wagtail（Python）など | 自社または制作会社 | 開発チームがある会社 | Node.jsやPythonにもセキュリティ更新があり、手間は残る |
| ネットショップ専用サービス | Shopify、BASEなど | サービス会社が行う | 商品を売るのが主目的の会社 | ブログや会社案内の自由度はサービスの範囲内 |
WordPressを使い続けたい場合は、PHPの更新までサーバー会社が受け持つ共用サーバーや管理型サービスを選ぶのが、いちばん手間の少ない方法です。仕組みを変えるときは、ページのURLが変わって検索順位が下がらないよう、古いURLから新しいURLへの転送（リダイレクト）の設計が欠かせません。サイトの作り直しを考えている場合は、WordPressサイトのリニューアル費用と手順もあわせてご覧ください。
いま確認すべきこと
- サイトのPHPのバージョンを、最後の数字まで確認した
- 修正版（PHP 8.4なら8.4.27以上など）でなければ、サーバー会社か制作会社に更新を依頼した
- PHP 8.1以前を使っている場合は、8.3以上への切り替えを決めた（バックアップと試験サイトでの確認つき）
- PHP 8.2を使っている場合は、2026年12月31日のサポート終了までに8.3以上へ移る日程を決めた
- WordPress本体・テーマ・プラグインも最新版になっている
- 保守を外部に任せている場合は、契約に「PHPの更新」が含まれているかを確認した
長く更新していないサイトは、PHP以外にも問題を抱えていることが多くあります。ホームページ放置のリスク｜3年更新なしで起きることも参考にしてください。
よくある質問
WordPressを使っていなくても関係ありますか？
PHPで動いているサイトなら関係します。WordPress以外にも、EC-CUBE、Movable Type（一部）、独自に開発したシステムなど、PHPで動く仕組みは多くあります。分からない場合は、サイトを作った会社かサーバー会社に「PHPのバージョンと、今回の修正版になっているか」を問い合わせてください。
レンタルサーバーなら、何もしなくても大丈夫ですか？
多くの共用レンタルサーバーでは、同じ系列の修正版（8.4.26→8.4.27など）はサーバー会社が入れます。ただし時期は会社によって違うため、お知らせを確認してください。また、管理画面で古い系列（8.1以前）を選んだままにしていると、修正版は入りません。
PHPのバージョンを上げると、サイトが壊れることはありますか？
同じ系列の中での更新（8.4.26→8.4.27など）は、表示が崩れることはほとんどありません。系列をまたぐ更新（8.1→8.3など）は、古いテーマやプラグインが動かなくなることがあります。バックアップを取り、試験サイトで確認してから切り替えてください。
脆弱性はすでに悪用されていますか？
2026年10月21日23時（日本時間）の時点で、PHP公式のセキュリティ情報には、実際の攻撃に使われたという記載はありません。ただし、修正内容が公開されると、修正の差分から攻撃方法を探る動きが出やすくなります。早めの更新をおすすめします。
PHPを使わない仕組みに変えれば、更新は不要になりますか？
不要にはなりません。ノーコードのサービスでは更新をサービス会社が受け持ち、静的サイトではサーバー側で動くプログラムが減るため、手間やリスクは小さくなります。一方、Node.jsやPythonで動くCMSにも定期的なセキュリティ更新があります。誰が更新を受け持つかで選ぶのが現実的です。
出典
- PHP「Upcoming Critical PHP Security Release」（2026年10月20日）
https://www.php.net/archive/2026.php#2026-10-20-1 - PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
https://www.php.net/archive/2026.php#2026-10-21-5 - PHP「GHSA-w8hw-w9fx-j79w：RCE via OOM corruption（CVE-2026-109618）」（2026年10月21日）
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w - PHP「GHSA-6wmf-4rv5-p3rp：RCE via stale global state（CVE-2026-109619）」（2026年10月21日）
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp - PHP「Supported Versions」（2026年10月21日確認）
https://www.php.net/supported-versions.php - PHP「Unsupported Branches」（2026年10月21日確認）
https://www.php.net/eol.php - FIRST「CVSS v4.0 Specification Document」
https://www.first.org/cvss/v4.0/specification-document - WordPress「要件」（2026年10月21日確認）
https://wordpress.org/about/requirements/
※本記事は2026年10月21日23時（日本時間）時点の公開情報にもとづいています。脆弱性の詳細や悪用の状況は、今後の発表で更新される可能性があります。最新の情報はPHP公式サイトでご確認ください。
あわせて読みたい
ホームページの保守・移行のご相談
「うちのサイトは大丈夫？」から
お気軽にご相談ください
株式会社仁頼は、WordPressサイトの制作・改善と、検索・AI検索からの集客を支援しています。PHPのバージョン確認や、更新・移行の進め方からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
