【緊急】PHPに重大な脆弱性2件！WordPressユーザーが今夜23時のリリース前に準備すること

PHPのセキュリティチームが、重大な脆弱性2件を修正するセキュリティリリースを、日本時間2026年10月21日の23時に公開すると予告しました。

PHPはWordPressが動くための土台となるプログラム言語です。WordPressでサイトを運営している方にも関係があります。国家サイバー統括室も、PHPを使っているか確認し、修正版をすぐ適用できるよう準備することを呼びかけています。

この記事では、リリース前に分かっている情報と、WordPressユーザーが今のうちにできる準備を簡潔にまとめます。

今回のPHPセキュリティリリースの概要

分かっている内容は次のとおりです。

欧州の機関CERT-EUは、この2件にCVE-2026-109618とCVE-2026-109619の番号が割り当てられたと伝えています。PHP 5以降が影響を受ける可能性があるともされていますが、正式な範囲はリリースを待つ必要があります。

また、セキュリティ研究者の間では、外部から任意のコードを実行される可能性が指摘されています。そのためWordPressを含む多くのサイトで注意が必要です。

なお、この脆弱性は、セキュリティ企業などの間で「php2shell」という通称で呼ばれています。ただし、PHP公式からは詳細が公表されていないため、技術的な内容は修正版の公開後に確認しましょう。

国家サイバー統括室は、公開しているウェブサイトでPHPを使用しているか確認し、日本時間21日23時に公開される修正パッチを可及的速やかに適用できるよう準備することを求めています。

情報処理推進機構（IPA）も、同じく事前準備を呼びかけています。IPAは、現時点でこの2件の脆弱性を悪用した攻撃を確認しているわけではないとしています。あくまで予防的な注意喚起です。

難しい作業ではありません。次の4つを済ませておきましょう。

PHPのバージョンを確認する
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと、使用中のPHPバージョンが分かります。
サーバー会社の案内を確認する
レンタルサーバーによって、PHPが自動で更新される場合と、管理画面から自分で更新する場合があります。自分のサーバーがどちらなのかを確認し、お知らせにも目を通しておきましょう。
バックアップを取る
万が一の不具合に備えて、サイトのファイルとデータベースをバックアップします。
WordPress本体・テーマ・プラグインを最新にしておく
PHPを更新した後に不具合が出にくくなります。ただし、これだけで今回の脆弱性への対策が完了するわけではありません。PHP本体の更新が必要です。

現状、XServerは影響を鑑み、すでにメンテナンスモードに入っています。XServerユーザーは、とりあえず具体的なお知らせが入るまでは、WordPress本体・テーマ・プラグインを最新に更新しつつ、あとは様子見で良いでしょう。