PHPの脆弱性とは？
古いWordPressサイトに潜む危険と
ハッキング対策

012026年10月に公表されたPHPの重大な脆弱性

2026年10月21日、PHPの開発チームは、2件の重大なセキュリティ上の問題を修正した更新版を公開しました。

今回修正された脆弱性は、次の2件です。

• CVE-2026-109618：メモリ不足時の処理に関係する脆弱性
• CVE-2026-109619：内部状態の管理に関係する脆弱性

いずれも深刻度が高く、条件によっては、攻撃者が認証なしでサーバー上のプログラムを不正に実行できる可能性があります。

修正されたPHPのバージョン

これらより古い同系統のバージョンを利用している場合は、早急な確認が必要です。

PHP 8.1以前は公式サポートが終了しています。サーバー提供会社によっては独自の修正が提供される場合もありますが、原則としてサポート対象のPHPへの移行を検討しましょう。

重要なのは、現在のWebサイトが問題なく表示されていても、安全とは限らないという点です。

02PHPとは？WordPressとの関係

PHPは、WebサイトやWebアプリケーションの開発に広く利用されているプログラミング言語です。

例えば、WordPressではPHPを使用して、記事の表示や管理画面の操作など、さまざまな処理を行っています。

WordPressを構成する主な要素

• PHP：Webサイトの処理を実行する
• WordPress本体：記事やページなどを管理する
• テーマ：Webサイトのデザインや表示を制御する
• プラグイン：お問い合わせフォームなどの機能を追加する
• データベース：記事や設定情報などを保存する

これらのうち、PHPに重大な脆弱性が存在すると、WordPress本体やプラグインを更新していても、サーバー側にリスクが残る可能性があります。

そのため、WordPressのセキュリティ対策では、PHPを含めたシステム全体の管理が重要です。

03古いPHPを使い続けるリスク

PHPのバージョンが古い状態で運用を続けると、さまざまな問題が発生する可能性があります。

不正アクセスやWebサイトの改ざん

脆弱性を悪用されると、Webサイトのファイルが書き換えられたり、不正なプログラムが設置されたりするおそれがあります。

情報漏えい

攻撃によってサーバーやデータベースへの不正なアクセスが可能になった場合、保存されている情報が流出する可能性があります。

Webサイトの停止

システムへの攻撃や不正な変更によって、Webサイトが正常に表示されなくなる場合があります。

新しいソフトウェアとの互換性問題

古いPHPでは、新しいWordPress本体やプラグインが正常に動作しないことがあります。

PHPの更新は、セキュリティ対策だけでなく、Webサイトを安定して運用するためにも重要です。

04PHPのバージョンを確認する方法

WordPressを利用している場合は、管理画面からPHPのバージョンを確認できます。

WordPressで確認する手順

1. WordPressの管理画面にログインする
2. 「ツール」を選択する
3. 「サイトヘルス」を開く
4. 「情報」タブを選択する
5. 「サーバー」の項目を開く
6. 「PHPバージョン」を確認する

また、レンタルサーバーの管理画面からも確認できる場合があります。

PHPのバージョンが古い場合は、サーバー会社の案内や現在のシステム構成を確認し、更新方法を検討しましょう。

※ PHPのバージョン番号だけで、すべてのセキュリティ対策状況を判断できるわけではありません。サーバー会社が独自の修正を適用している場合もあります。

05PHPを更新する前に注意すること

PHPの更新は重要ですが、既存のWebサイトでいきなりバージョンを変更すると、不具合が発生する場合があります。

特に、古いWordPressテーマやプラグインを使用しているサイトでは注意が必要です。

更新前に確認したいポイント

1. 01

   バックアップを取得する

   Webサイトのファイルとデータベースを保存し、問題が発生した際に復旧できるようにします。

   
2. 02

   WordPress本体とプラグインの対応状況を確認する

   変更先のPHPバージョンに対応しているか、公式情報などを確認します。

   
3. 03

   テスト環境で動作を確認する

   可能であれば、本番サイトとは別の環境でPHPを更新し、表示や機能に問題がないか確認します。

   
4. 04

   お問い合わせフォームなどをテストする

   ページの表示だけでなく、フォーム送信や管理画面など、重要な機能が正常に動作するか確認します。

   
5. 05

   本番環境への反映後も確認する

   更新後はエラーログやサイトの動作を確認し、不具合が発生していないか監視します。

   

ただし、今回のような重大な脆弱性では、互換性の確認を理由に更新を長期間延期することも危険です。

速やかにテストと更新を進め、すぐに対応できない場合は、サーバー会社や専門家に相談して一時的なリスク低減策を検討しましょう。

06WordPressサイトを守る5つの対策

Webサイトの安全性を高めるには、PHPの更新だけでなく、複数の対策を組み合わせることが重要です。

• 

  01 PHP・WordPressを最新の安全な状態に保つ

  PHP、WordPress本体、テーマ、プラグインの更新情報を確認し、必要なセキュリティ修正を適用します。

• 

  02 不要なプラグインを削除する

  使用していないプラグインやテーマは整理し、攻撃対象となる箇所をできるだけ減らします。

• 

  03 管理画面の認証を強化する

  強固なパスワードや多要素認証を利用し、管理画面への不正ログインを防ぎます。

• 

  04 定期的なバックアップを行う

  ファイルとデータベースのバックアップを取得し、復元できる状態を維持します。

• 

  05 定期的にセキュリティ状況を確認する

  更新状況やアクセス権限、ログなどを確認し、問題を早期に発見できるようにします。

これらの対策を継続することが、Webサイトの安全な運用につながります。

07古いWebサイトはリニューアルすべき？

PHPやWordPressが古いからといって、必ずしもWebサイト全体を作り直す必要はありません。

適切な更新や設定変更によって、安全性を改善できる場合もあります。

一方で、次のような状況ではリニューアルを検討する価値があります。

• 古いテーマやプラグインが更新されていない
• PHPの更新によって大きな不具合が発生する
• サイトの管理方法が複雑になっている
• 制作当時の担当者が不在で、構成が把握できない
• デザインやスマートフォン対応にも課題がある

Next.js・TypeScriptという選択肢

Webサイトのリニューアルでは、WordPress以外の技術を採用する方法もあります。

例えば、Next.jsとTypeScriptを活用することで、必要な機能に絞ったWebサイトを構築できます。

静的ページを中心とした構成にすれば、公開ページでサーバー側の処理を必要としない設計も可能です。

ただし、Next.jsにも脆弱性は存在するため、適切な開発と継続的な更新が必要です。

大切なのは、技術の名称だけで判断するのではなく、Webサイトの目的や運用体制に適した構成を選ぶことです。

08よくある質問

09まとめ・TERRASPEXへの相談

2026年10月に公表されたPHPの重大な脆弱性は、Webサイトのセキュリティ対策を見直す重要なきっかけとなりました。

WordPressを安全に運用するためには、PHPやプラグインなどの更新状況を確認し、必要な対策を継続することが大切です。

また、古いシステムの更新が難しい場合には、Webサイトの構成そのものを見直すことも選択肢になります。

TERRASPEXでは、Webサイトの制作・リニューアルに対応しています。

現在のWebサイトの構成に不安がある方や、安全性を考慮したWebサイトへのリニューアルを検討している方は、お気軽にご相談ください。

参考資料

• PHP公式：2026年10月のセキュリティ更新情報
• PHP公式：サポート対象バージョン
• CERT-EU：Critical Vulnerabilities in PHP