【更新】PHPに深刻な脆弱性

OVERVIEW

2026年10月21日、PHP 脆弱性（CVE-2026-109618、CVE-2026-109619）の修正版と内容が公開されました。対象はWordPressのプラグインではなく、PHPそのものです。

ログインしていない相手でも、第三者がサーバーを操作できてしまう恐れがあります。ページの書き換えや、データの持ち出しにつながります。

深刻度は2件とも CVSS 9.2（致命的） です。WordPressを含め、PHPで動くサイトが対象です。

修正版は 8.2.35、8.3.36、8.4.27、8.5.12 です。WordPressを更新しても直りません。

ここでは、PHP 脆弱性の危険と、WordPressサイトで確認することを説明します。前日の予告では中身が非公開でしたが、21日に公式の説明が出ました。

PHPとは

PHPは、Webサイトを動かすプログラム言語です。WordPress本体もプラグインも、PHPの上で動いています。

バージョンはサーバー側で決まります。管理画面の「プラグインを更新」では変わりません。

なぜ注目されたのか

10月20日、PHPの開発元が緊急の修正を予告していました。内容が事前に漏れたため、21日23時（日本時間）に修正版と説明が公開されています。

特定のプラグインだけの問題ではありません。WordPress以外でPHPを使っているサイトも対象です。

PHP 脆弱性の詳細（CVE-2026-109618）

• CVE：CVE-2026-109618、CVE-2026-109619
• 分類：ログイン不要で、サーバー上の処理を実行できてしまう問題（遠隔コード実行）
• 影響範囲：ウェブ向けに動いているPHP。修正前の8.2、8.3、8.4、8.5。8.1以下は公式の更新対象外
• CVSS：いずれも9.2（致命的）。評価方式はCVSS v4.0
• 修正状況：8.2.35、8.3.36、8.4.27、8.5.12で修正済み

何が問題か

不具合は2件あります。どちらも、PHPがアクセスを処理する途中のメモリの扱いです。

1件目は、メモリが足りなくなったときに処理が壊れる問題です。2件目は、前のアクセスの情報が次のアクセスに残る問題です。

投稿やプラグインの不具合ではありません。相手はログインする必要がありません。

どの動かし方が危ないか

公式は、ウェブサイト向けのPHP全般が対象だと説明しています。レンタルサーバーで多いPHP-FPMも含まれます。

いちばん危険なのは、ApacheにPHPを組み込む方式（mod_php）です。サイトのプログラムが始まる前に、ログインなしのアクセスで攻撃が成立した例があります。

PHP-FPMだから安全、ではありません。公式は、設定を変えるだけでは防ぎきれず、修正版へ上げることが必要だとしています。

PHP 脆弱性の影響とリスク

この PHP 脆弱性で起こりうることは、次のとおりです。

• サイトの改ざんや情報の持ち出し：サーバー上で処理を実行されると、ページの書き換えやデータの持ち出しにつながる恐れがあります。
• 管理画面の操作では直らない：プラグインやテーマの更新、停止では直りません。
• PHP 8.1以下には公式の修正版がない：8.2以上への切り替えか、サーバー会社独自の対応が必要です。

PHP 脆弱性への対処方法

PHP 脆弱性への対応は、使っているPHPを修正版に上げることです。

• いまのPHPバージョンを確認する。WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」
• 修正版以上か確認する。8.2なら8.2.35以上、8.3なら8.3.36以上、8.4なら8.4.27以上、8.5なら8.5.12以上
• 反映されたあと、公開ページの表示を確認する

すでに8.2以上の場合

必要なのは、同じバージョンの中の修正です。例として、8.4.26なら8.4.27です。コントロールパネルで8.2を8.3へ切り替える作業ではありません。

共用のレンタルサーバーでは、この修正をサーバー会社が入ることが多いです。公式も、Linuxの配布元には修正を事前に渡したと説明しています。

自分でPHPを入れ直す必要はありません。修正版になっていなければ、サーバー会社の案内を待つか、サポートへ問い合わせてください。

なお、PHP 8.2の公式サポートは2026年12月31日で終わります。今回の8.2.35とは別の話です。その日以降の新しい穴には、公式の修正が出ません。

PHP 8.1以下の場合

PHP 8.1以下には、今回のような公式の修正版がありません。共用レンタルでは、8.2以上への切り替えをサーバー会社に相談するのが現実的です。

バージョンを上げると、表示やお問い合わせフォームの動きが変わることがあります。切り替え後は、公開ページの確認が必要です。

まとめ

今回の PHP 脆弱性は、プラグインの問題ではありません。ログインしていなくてもサーバーを操作される恐れがあり、直す場所はサーバー側のPHPです。

8.2以上なら、同じバージョンの修正版が入ったかを確認してください。8.1以下なら、8.2以上への切り替えを検討してください。

WordPressのセキュリティは「一度設定すれば終わり」ではありません。継続的な監視と更新、そして適切な保守管理によって初めて安全なサイト運営が実現できます。

参考

• PHP.net - Security advisory（2026-10-21）
• PHP.net - Upcoming Critical PHP Security Release（2026-10-20）
• PHP.net - ChangeLog 8.2.35
• GitHub Advisory - CVE-2026-109618
• GitHub Advisory - CVE-2026-109619

---