2026年10月21日、PHP に重大な脆弱性が見つかったと、PHP の開発元から公表されました。PHP は、WordPress をはじめ多くのホームページや問い合わせフォームを動かしている仕組みです。
悪用されると、外部の第三者がログインしなくても、サーバー上でプログラムを動かせてしまうおそれがあります（CVE-2026-109618／CVE-2026-109619）。攻撃を試すためのコードが公開されたとの報告がある一方、10月23日時点で実際の悪用は確認されていません。ただ、開発元は「設定の変更だけでは完全には防げず、修正版への更新が唯一の安全な対応」としています。
確認が必要なホームページ
WordPress など PHP で動くサイトで、PHP の版が次の修正版より前の場合は、対応が必要です。
- 8.5 系は 8.5.12 より前、8.4 系は 8.4.27 より前、8.3 系は 8.3.36 より前、8.2 系は 8.2.35 より前
- PHP 8.1 以前は、開発元からの修正版がありません
まず確かめていただきたいこと
- ホームページが PHP で動いているか（WordPress で作ったサイトは PHP で動いています）
- サーバーの PHP の版（レンタルサーバーなら、管理画面で確認できることが多いです）
- 修正版になっているか（サーバー会社が更新済みのこともあります。サーバー会社のお知らせもご確認ください）
古いサイトでは、PHP の版を上げると、今のサイトが正しく表示されなくなることがあります。その場合は、サイトの手直しや作り直しが必要になります。なお、PHP 8.2 も 2026年12月31日でセキュリティ更新が終わります。
ご自身で分からない場合は
「制作会社と連絡がつかない」「どこを見ればいいか分からない」という場合は、当社にご相談ください。ホームページのアドレス（URL）と、分かる範囲でご利用中のサーバー会社を教えていただければ、確かめ方と必要な対応をご案内します。
ご相談は無料です。作業が必要な場合は、内容と費用をご説明してからお見積りします。
お問い合わせはこちら（お電話 075-222-7220／平日 10:00〜18:00）
参考: PHP 公式の告知、カナダ サイバーセキュリティセンターの注意喚起（AL26-026、英語）
