PHPの重大脆弱性に対する修正版が公開されました。「自分のサイトは対象か」「WordPressを更新すればよいのか」という疑問に向け、対象バージョンと提供元別の確認手順を整理します。

確認時点は2026年10月21日22:43、日本時間です。当初は同日23時の予定でしたが、公式発表を確認したため、この記事は修正版公開後の情報として案内します。

独自作成図。修正版公開の出典: PHP公式。管理手順は本記事の運用上の提案です。

PHP緊急更新の修正版公開。まず利用環境と提供元を確認

サイトで動くPHPのバージョンと提供元を確認し、今回の修正が入った版へ速やかに更新してください。レンタルサーバーでは提供元の対応状況、自主管理では実際にWebリクエストを処理するPHPまで確認します。

PHP公式の発表は、Webリクエストを処理するすべてのPHP利用環境に更新を求めています。Apacheのmod_phpが最も高リスクとされていますが、それ以外なら安全という意味ではありません。

PHP-FPM、CGI、FrankenPHP、LiteSpeedも公式の対象説明に含まれます。実行方式やOSだけを理由に対象外と判断せず、利用中の構成を提供元の案内と照合しましょう。

対象バージョンと公開された修正版

対象はCVE-2026-109618とCVE-2026-109619の2件です。公式の脆弱性情報では、深刻度を示すCVSS v4.0のスコアはいずれも9.2で、Criticalに分類されています。

どちらも、認証なしでWeb処理の権限によるコード実行につながるおそれがあります。サイトへのログインを制限しているだけで、対応不要とは判断できません。

以下はPHP公式が案内する各系列の修正版です。「未満」は同じ系列内で比較してください。

出典: PHP開発元のCVE-2026-109618勧告、CVE-2026-109619勧告。

PHP 8.1以前は通常の公式更新対象外です。一部のOS・長期サポート提供元では、古い版に必要な修正を移す「バックポート」が提供されるため、表示番号だけでなく提供元の今回の修正情報を確認します。

PHP公式は例外的に7.4・8.0・8.1向けの最小限のソース修正も案内していますが、通常サポートの再開ではありません。古い版の利用者は提供元の対応と、サポート中の系列への移行を確認してください。

WordPress・レンタルサーバー利用者の確認手順

WordPressでは「ツール→サイトヘルス→情報」のサーバー情報から、PHPバージョンを確認できます。WordPress公式の説明にある通り、ここは情報の確認画面で、更新を実行する画面ではありません。

確認した版とサイト名を控えたら、次の点を整理します。これは更新経路を見失わないための運用上の提案です。

• 契約しているサーバー会社と、管理画面を確認できる担当者を把握する。
• 提供元のセキュリティ情報・障害情報など、更新案内の掲載先を確認する。
• 自動で適用されるのか、利用者による切り替えが必要なのかを、提供元の案内で確かめる。

WordPress本体の更新と、PHPの修正適用は分けて確認してください。本体を更新したという事実だけで、今回のPHP対応も終わったとは判断しないようにします。

サイトヘルスに表示されるPHPの状態も、今回の個別の修正が適用済みである証明としては扱えません。WordPressの判定実装と、今回の修正情報は区別して確認しましょう。

自主管理サーバーはCLIとWeb側を分けて確認

自分で管理するサーバーでは、端末で使うPHPと、サイトを動かすPHPを分けて確かめます。CLIとは、端末からコマンドを入力して操作する実行環境のことです。

PHP公式マニュアルでは、php -vで版情報、php --iniで設定ファイル情報を表示できます。いずれも自分の管理環境を確認するために使います。

ただし、設定ファイルの公式説明が示すように、実行方式によって読み込む設定は異なる場合があります。端末の表示だけでWeb側も同じ版だと決めつけないでください。

Web側の確認には、WordPressなら前節のサイトヘルス情報を使えます。ホスティングの管理画面に稼働情報がある場合は、対象サイトの情報かどうかも確かめましょう。

自主管理では、既存の構成台帳やWebサーバー・コンテナの設定をたどり、対象サイトが使うPHPを確認するのが運用上の提案です。確認のために診断情報を一般公開する必要はありません。

独自作成図。参照: PHP公式マニュアル、WordPress公式のサイトヘルス説明。確認経路は本記事で整理しました。

複数のサイトやコンテナを管理している場合は、サイト名、実際に動くPHP、提供元を対応付けて控えると確認漏れを減らせます。更新後も同じ対応表で、Web側まで反映されたかを確認します。

修正版の適用と更新後に確認すること

PHP公式は、完全な対処は更新のみと説明しています。緩和策は特定の経路への露出を減らすもので、完全な安全を保証しません。設定変更だけで対応完了とせず、公式と提供元の修正情報に従ってください。

ここからは適用作業のための運用上の提案です。バックアップと復旧手順を確認したうえで修正版を適用し、再起動などが必要な場合は提供元の手順に従います。

適用後はWeb側で稼働するPHPを再確認し、ログインやフォームなど、普段使う機能を確認しましょう。更新操作が成功したことと、サイトが正常に動いていることの両方を確かめます。

まず対象サイトのPHPと提供元を確認し、今回の修正が適用済みかを確かめてください。提供元が対応中なら、適用予定と利用者側の操作が必要かを確認し、完了まで追える状態にしておきましょう。