PHPの重大な脆弱性、WordPress利用者は何をする？個人・法人とエックスサーバー・さくらの確認手順

情報確認：2026年10月22日 朝（日本時間）。エックスサーバーは同日6:45更新の公式告知を確認しています。対応状況は変わるため、作業前に契約サービスの告知を確認してください。

「PHPに致命的な問題、と聞いたけれど、自分のブログも関係あるの？」

「会社のホームページを制作会社に任せている場合、誰に聞けばいい？」

難しい言葉が並ぶと、何から手をつければいいか迷いますよね。AIで記事を書いたり、仕事の発信にホームページを使ったりしているあなたにも、サイトを動かす土台の点検は関係があります。

AI初心者パークでは、難しいニュースを「今日、自分ができること」へ置き換えていきます。今回なら、まず契約しているサーバーと、そこで使っているPHPを確認するところからです。

今回は、PHPの問題を初心者向けに整理し、個人・法人それぞれの対応と、エックスサーバー・さくらインターネットで確認することをまとめました。

この記事でわかること

• 今回の問題と、WordPressの更新だけでは対応が終わらない理由
• 個人ブログ・会社サイト・VPSで、誰が何をするか
• レンタルサーバー各社の公式案内と、問い合わせに使える文面

SAIちゃん：全部の仕組みを覚えなくても大丈夫。「誰がPHPを管理しているか」から、一緒に見ていこう。

最初に4コマ：うちのサイトは、何を確認する？

①→②→③→④の順に読んでね。スマホでは上から順に並びます。

1. 1ニュースを見て、どきっ

   SAIちゃんPHPに弱点って……私のサイトも関係あるの？

2. 2受付と裏側は、別の点検

   かずま僕なら、WordPressとPHPを別々に確認するよ。

3. 3最初に見るのは、この3つ

   かずままずはサーバー名・PHPの番号・公式案内をメモしよう。

4. 4分からないところを聞いてみる

   SAIちゃんこの契約は修正済みですか？ 私がする操作もありますか？

SAIちゃんは読者と一緒に試す役、かずまは少し先で試す先輩。漫画は確認の進め方を描いた会話例です。修正状況は契約先の最新の公式案内で確認してください。

まず結論：PHPの修正適用を確認する。WordPressの更新とは別です

PHP開発チームは10月21日、重大な脆弱性2件を修正した版を公開しました。脆弱性とは、攻撃に使われるおそれのあるソフトウェアの弱点です。今回の問題は、ログインしていない第三者がサーバーで不正なプログラムを動かせるおそれがあります。PHP公式の修正案内

WordPress本体・テーマ・プラグインの更新と、PHP本体の修正は別の作業です。 WordPressの更新が完了していても、PHPへの対策が済んだとは限りません。

最初の行動は、あなたの立場で変わります。

以下の確認手順は、サイトを運営している人向けの提案です。契約サービスから個別の作業指示が出ている場合は、その案内に合わせて進めましょう。

PHPは、ホームページの裏側で働くスタッフ

AI初心者パークをひとつの施設にたとえると、WordPressは園内の案内板や受付、PHPは裏側で情報を取り出して案内板を作るスタッフのような存在です。

受付の案内を新しくしても、裏側の設備まで点検したことにはなりません。WordPressとPHPをそれぞれ確認するのは、そのためです。イラストは役割をつかむためのたとえで、実際のシステム構成を表した図ではありません。

今回の2件は、そのスタッフが使う作業場所の管理に問題が見つかった、と考えるとイメージしやすくなります。

• CVE-2026-109618：メモリという作業場所が足りなくなったとき、準備途中のデータを、その後の処理が正しいものとして扱ってしまう問題。
• CVE-2026-109619：使い終わったデータへの参照が残り、次の処理が古い参照を使ってしまう問題。

深刻度は、いずれもCVSS v4.0で9.2です。これは「あなたのサイトが92％の確率で被害に遭う」という意味ではありません。攻撃の成立条件や影響を評価した指標です。PHP公式の脆弱性情報1、脆弱性情報2

また、「成功すれば、どんな環境でもサーバーの最高権限を奪われる」とは言い切れません。公式情報で示されている実行権限は、Web処理を担当するアカウントの権限です。ただし、その権限で読める情報や書き換えられるファイルがあるため、早い対応が必要です。PHP公式の影響説明

どのPHPが対象？「8系だから安心」では判断できません

PHP公式は、Webリクエストを処理するPHP全般を対象として挙げています。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが含まれます。動かし方によって成立条件は異なりますが、FPMだから対象外、と判断するのは避けましょう。PHP公式の対象環境

今回の修正版は、次のとおりです。

同じ系列で、これより古い未修正版を使っている場合は対応が必要です。「8.3」「8.4」だけで判断せず、末尾の数字まで確認します。PHP公式の修正版一覧

一方、OSやサーバーの提供元が、番号を大きく変えずに修正だけを取り込む場合があります。これをバックポートと呼びます。表示番号だけで結論を出さず、今回の2件に対応済みかという提供元の説明も確認してください。

PHP 8.1以前は通常の公式サポートが終了しています。ただし、提供元の独自修正や、PHP公式による7.4・8.0・8.1向けの最小限のソース修正も案内されています。「古いPHPには一切修正がない」と一括りにせず、利用先に確認し、サポート中の系列への移行も進めましょう。PHP公式の旧版向け案内

個人ブログなら、まず5分で現状をメモする

最初の5分で目指すのは、更新を全部終えることではなく、必要な情報をそろえることです。

SAIちゃん：「番号を見るだけでもいいの？」と思ったら、まずはそこから。分からない項目は「不明」と書いて、相談に使おう。

1．契約サーバーとプランを確認する

契約メールや請求書から、サービス名を確認します。同じ会社でも、共用レンタルサーバーとVPSでは管理の範囲が違います。

2．WordPressでPHPの番号を見る

管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」→「PHPバージョン」を開きます。末尾までメモしてください。これは確認だけの操作です。WordPress公式の確認手順

サイトヘルスに警告がないことだけでは、今回の修正が済んだとは判断しないようにしましょう。

3．サーバー会社の告知と照らし合わせる

確認するのは「自分の契約・PHP系列が対象か」「修正は完了か、予定か」「利用者の操作が必要か」です。分からなければ、後半の問い合わせ文を使ってください。

4．切り替えが必要なら、バックアップと互換性を確認する

PHPの系列変更をする前に、サイトのファイルとデータベースの両方を保存し、復元方法も確認します。テーマやプラグインが変更先のPHPに対応しているかも見ておきます。WordPress公式も、バックアップと互換性の確認を案内しています。WordPress公式の更新準備

ただし、準備を理由に未対策の公開を長く続けないことも大切です。すぐ更新できなければ、保守担当者に連絡し、Webサーバーやネットワーク側でアクセスを制限する方法も相談してください。

5．更新後は、表示とフォームを確認する

トップページ、記事ページ、管理画面へのログイン、問い合わせフォームを確認します。販売サイトなら、決済連携などもテスト環境や提供元の手順で確認しましょう。

エラーが出たときは、未修正版のPHPへ戻して公開を続ける前に、担当者に相談します。使える機能と、安全に公開できる状態を一緒に確認するためです。

エックスサーバー利用者はどうする？8.2～8.5の適用完了を確認

10月22日6:45更新の公式告知では、PHP 8.2～8.5について、対象の全サーバーへの修正パッチ適用が完了したと案内されています。 旧バージョンは、一部で準備が整い、検証後に順次適用する段階です。エックスサーバー公式告知

同じページでは、公式サイト・サーバーパネル・WEBメールなどの停止と、利用者のサイト表示・メールソフトでの送受信を区別しています。サイトとメールソフトは通常どおり利用できるという説明です。管理画面の再開とPHPの修正状況は、別々に確認しましょう。

あなたが行う確認は、次の3つです。

1. 利用中のPHPが8.2～8.5か、旧バージョンかをメモする。
2. 契約サービスが告知の適用範囲に含まれることを確かめる。
3. サイトの動作を確認し、追加の利用者向け案内が出ていないか見る。

告知には、利用状況によって追加対策をお願いする場合があるとも書かれています。「どの契約・どのPHPでも完了」と広げて読まないようにしましょう。エックスサーバー公式の進捗・FAQ

PHPの系列変更が必要になった場合、公式マニュアルではサーバーパネルの「PHP Ver.切替」から対象ドメインを選んで変更します。これは必要と確認できた場合の操作です。修正済みの系列から、慌てて別の系列に変えるための手順ではありません。PHPバージョン切替の公式手順

さくらインターネット利用者はどうする？告知の対象を分けて確認

さくらの公式情報では、複数のメンテナンスが案内されています。

出典：一部機能の停止、再起動を伴う作業、クラウドのWeb UI停止

今回確認した公式案内だけでは、あなたのサイトが使うPHPに2件の修正が適用されたかまでは確認できません。 これは「未対策」と断定する意味でもありません。契約サーバー・PHP系列ごとの情報が必要、ということです。

まずサイトヘルスで番号を控え、サポートから「修正済みか」「利用者の変更操作が必要か」の回答を得ましょう。

系列変更が必要な場合の公式手順は、サーバーコントロールパネルの「スクリプト設定」→「言語バージョン設定」です。古いアプリが動かなくなる場合があるため、バックアップと対応状況を確認してから進めます。さくら公式のPHP変更手順

なお、過去の別の脆弱性について「さくらは影響なし」と書かれた記事が検索で見つかっても、今回の判断には使わないでください。CVE番号と公表日をそろえて確認するのがコツです。

法人は「誰が、いつまでに、何を確認するか」を決める

会社の場合は、更新担当と判断する人を決めておくと進めやすくなります。次は、社内で使える対応のたたき台です。

園内の設備点検なら、受付の担当、設備の担当、営業を続けるか判断する責任者がいますよね。会社サイトも同じように、連絡役と作業担当をはっきりさせておきます。

1. 対象を一覧にする。 会社サイトだけでなく、採用ページ、会員サイト、EC、古いキャンペーンページも確認する。
2. 担当を決める。 サーバー会社、制作会社、保守会社のどこがPHPの修正確認を担当するか、契約範囲を確認する。
3. 完了の根拠を残す。 PHPの番号、またはバックポートの適用情報、対応日時、提供元の回答を記録する。
4. すぐ修正できないサイトを判断する。 管理担当者と、公開範囲の制限や一時停止の必要性を検討する。
5. 動作確認と経過報告をする。 問い合わせ、予約、ログインなどの担当を決め、問題があれば連絡する。

「サイトが普通に表示される」は、動作の確認です。修正適用の根拠とは分けて記録しましょう。

社長・上司への報告文例

PHPに重大な脆弱性2件が公表され、修正版が公開されています。当社サイトへの影響と修正状況を、サーバー会社・保守会社に確認しています。現在の確認状況は［確認中／対応済み／対応予定］です。必要な更新作業と動作確認を進め、公開制限が必要な場合は影響と対応案を報告します。次回は［日時］に状況をご報告します。

これは報告用の文例です。実際に確認した状況だけを入れて使ってください。

改ざんや不審な管理者を見つけたら

更新だけで調査を終えず、保守・セキュリティ担当者に連絡します。発見日時、画面、ログなどの記録を保全し、公開制限や復旧を相談してください。パッチ適用は、すでに起きた侵入の痕跡まで消してくれるものではありません。

VPS・自社サーバーは、管理担当者による更新が必要です

共用レンタルサーバーと違い、VPSやクラウドの仮想サーバーでは、自分たちで入れたPHPは利用者側の管理範囲になっていることがあります。

担当者には、OS・PHPの配布元の修正情報を確認し、パッケージ更新、または修正済みコンテナへの置き換え、必要なプロセスの再起動まで確認してもらいましょう。PHP公式も、Linux配布元や長期サポート提供元の更新パッケージを確認するよう案内しています。PHP公式の更新方法

実務上は、コマンドで表示されるPHPと、Webサイトが使うPHPが別になっていないかも確認項目に加えます。複数系列・複数コンテナがある場合は、それぞれを確認するための提案です。

同じ会社のレンタルサーバー向け告知を、VPS内に自分で導入したPHPまで適用済みという意味に読み替えないでください。

設定変更やAIの回答だけで「対策完了」にしない

PHP公式は、一部の攻撃経路を減らす設定を示していますが、完全な対策は更新だと説明しています。動画やSNSで見た設定をひとつ変えただけで、修正適用の確認を終えないようにしましょう。PHP公式の暫定策と限界

また、WordPressのメンテナンス表示だけでPHPへの外部アクセスまで遮断できるとは限りません。公開制限が必要な場合は、Webサーバーやネットワーク側で実施する方法を担当者に確認します。

AIは、公式のお知らせをやさしく読み解いたり、問い合わせ文を整えたりする補助には使えます。たとえば、公開されている公式文だけを添えて、声や文字でこう頼めます。

AIには「相談するための整理」を手伝ってもらう

初心者が止まりやすいのは、「専門用語が分からないから、問い合わせもできない」というところです。ここはAIに手伝ってもらえます。下のお願い文を読み上げるか、コピーして使ってみましょう。

この公式のお知らせを、ホームページ運営の初心者向けに説明してください。「事業者が完了したこと」「利用者が行うこと」「この文面では分からないこと」に分けてください。書かれていない対応状況は推測せず、追加で確認する質問を3つ作ってください。

会社の秘密、個人情報、パスワード、未公開資料、サーバー設定の全文はAIに入れないようにしましょう。返ってきた説明は、元の公式文と照らし合わせます。

たとえばAIが「対応済みです」と返してきたら、「公式文のどの部分に、どのサービス・PHP系列が完了したと書かれている？」と聞き返します。元の案内に根拠がなければ、まだ確認が必要です。

SAIちゃん：AIには、案内板を一緒に読むのを手伝ってもらおう。あなたのサイトが対策済みかは、サーバー会社や保守担当者に確認するよ。

そのまま使える、サーバー会社への問い合わせ文

公式サポートの窓口が利用できることを確認してから送る文面です。パスワードを添える必要はありません。

件名：PHPの脆弱性2件への対応状況の確認

契約サービス：［サービス名・プラン］

対象サイト：［URL］

Web側で確認したPHPバージョン：［末尾まで記入／確認できず］

CVE-2026-109618、CVE-2026-109619について、当契約のPHPは修正適用済みでしょうか。独自修正・バックポートの場合は、その適用状況も教えてください。

利用者側で必要な操作、追加対策、未完了の場合の対応予定を確認したく存じます。併せて、対策完了までの公開継続やアクセス制限について案内があればお知らせください。

かずまの実践メモ：僕なら、確認した根拠を一枚に残す

今回の件で僕なら、まず次のメモを作ります。公式の案内を読んだときも、保守会社から返事をもらったときも、同じ場所に残しておけば見返しやすいからです。

園内の点検で考えると、「施設全体の点検が終わった」という案内と、「自分が使う設備も対象だった」という確認の両方がそろうと、判断しやすくなります。

今日の一歩：サーバー名とPHPの番号をメモする

まずは、あなたのサーバー名・プラン・PHPバージョンを確認しましょう。

次に、その契約を含む修正完了の案内があるかを見ます。分からないところは、問い合わせ文を使って確認します。

AIでできることを増やすときも、土台を点検するときも、最初から全部を理解する必要はありません。「今の自分に関係すること」をひとつずつ確かめていきましょう。

SAIちゃん：「確認できたこと」と「まだ分からないこと」を分けられたら、次に聞くことが見えてくるよ。

最後に4コマ：今日やることを、おさらい

①→②→③→④の順に読んでね。スマホでは上から順に並びます。

1. 1いまの状態をメモ

   SAIちゃんサーバー名とプラン、PHPの番号をメモできたよ！

2. 2自分の契約も、対象かな？

   かずま僕なら、自分の契約のPHPに修正が入ったかまで確認するよ。

3. 3分からない点を、相談

   SAIちゃんこの部分が分かりません。必要な対応を教えてください。

4. 4次の一手が、見えてきた

   かずま対応後は表示とフォームも確認して、日時と結果を残そう。

SAIちゃんは読者と一緒に試す役、かずまは少し先で試す先輩。漫画は確認の進め方を描いた会話例です。修正状況は契約先の最新の公式案内で確認してください。

本記事は、提供された動画をきっかけに、公式情報で確認し、サイト運営者向けの行動へ組み直したものです。各サイトでの修正適用や動作試験を実施した報告ではありません。