PHPとは？重大な脆弱性で注意喚起｜仕組み・WordPressとの関係・対策を解説

WordPressの管理画面やレンタルサーバーのお知らせで「PHPを更新してください」と表示されても、PHPが何をしているのか分からない人は少なくありません。2026年10月21日には、PHP公式がリモートコード実行につながり得る重大な脆弱性2件と修正版を公表しました。

この記事は2026年10月22日（日本時間）に確認した公式情報を基準に、PHPの基本と今回の注意点を分けて説明します。脆弱性情報は更新されるため、実際の対応ではPHP公式、OSやホスティング事業者の最新案内も確認してください。

30秒で説明

PHPは、Webサーバー側で動くプログラミング言語です。ログイン情報の確認、データベースからの記事取得、問い合わせフォームの処理などを行い、結果をHTMLとしてブラウザーへ返します。WordPressもPHPで動く部分が多いため、WordPressサイトの運営者は利用中のPHPバージョンを意識する必要があります。

2026年10月21日、PHP公式は、外部から認証なしでコードを実行される可能性がある2件の脆弱性を公表し、PHP 8.5.12、8.4.27、8.3.36、8.2.35への更新を案内しました。ただし、PHPを使うサイトがすべて侵害されたという意味ではありません。影響や悪用の成否はバージョン、実行方式、設定などで異なります。

3分で詳しく

PHPとは何か

PHPは、Web開発に適したオープンソースの汎用スクリプト言語です。正式な展開名は「PHP: Hypertext Preprocessor」です。

特徴は、Webページを見ている人の端末ではなく、原則としてWebサーバー側でコードが実行されることです。ブラウザーへ届くのは、PHPの処理結果として生成されたHTMLなどであり、通常はPHPのソースコードそのものではありません。

Webサイトの裏側で何をしているのか

PHPは、Webサイトで次のような処理に使われます。

ログイン情報を確認する
データベースから記事や商品情報を取り出す
フォームへ入力された内容を検証・保存する
利用者や時刻に応じて表示内容を変える
HTMLを生成してブラウザーへ返す

PHPだけでWebサイトのすべてが決まるわけではありません。データベース、Webサーバー、OS、フレームワーク、WordPressのテーマやプラグインなど、複数の要素が組み合わさって動きます。

HTML・JavaScriptとの違い

技術	主な役割	主に動く場所
HTML	見出し、文章、画像などページの構造を表す	ブラウザーで表示される
JavaScript	画面の操作や動的な変化を実現する。サーバー側で使われる場合もある	主にブラウザー。構成によってはサーバー
PHP	データ処理やHTML生成など、Webサイトの裏側を動かす	Webサーバー

たとえば会員ページでは、PHPがログイン状態とデータを確認してHTMLを作り、JavaScriptが画面上の操作を補助する、といった分担が考えられます。

WordPressとPHPの関係

WordPressは、サーバー側の主要部分がPHPで作られています。WordPress.orgは、2026年10月22日時点でPHP 8.3以上を推奨し、古いPHPは公式サポートが終了してセキュリティ上の問題につながり得ると案内しています。

ただし、PHP本体、WordPress本体、テーマ、プラグインは別々のソフトウェアです。「PHPの脆弱性が公表された」ことと「WordPress本体や特定のプラグインに脆弱性がある」ことは同じではありません。一方で、WordPressを動かすサーバーのPHPが影響対象なら、ホスティング環境としての対応が必要です。

PHPの脆弱性とは何か

脆弱性は、ソフトウェアの安全性に関わる弱点です。PHP本体に脆弱性があると、PHPへWebリクエストを渡す方法やサーバー設定などの条件によっては、攻撃者が本来許されていない処理を起こせる可能性があります。

脆弱性が存在することと、実際にサイトが侵害されたことは別です。影響を受けるバージョンでも、攻撃が必ず成功するわけではありません。反対に、修正版へ更新したからといって、更新前に侵害がなかったと証明できるわけでもありません。

2026年10月の重大な脆弱性2件

PHP公式は2026年10月21日、次の2件を公表しました。どちらもCVSS v4.0で9.2（Critical）と評価されています。CVSSは脆弱性の技術的な深刻度を共通の尺度で表す仕組みで、9.2は高い注意が必要な水準です。

識別番号	PHP公式による概要	修正版
CVE-2026-109618	メモリー不足時の処理により、初期化途中の内部データを不正な状態として扱い、リモートコード実行につながる可能性	8.2.35、8.3.36、8.4.27、8.5.12
CVE-2026-109619	リクエスト終了後に残った内部状態が、別のリクエストで解放済みメモリーを参照し、リモートコード実行につながる可能性	8.2.35、8.3.36、8.4.27、8.5.12

PHP公式は、Webリクエストを処理するPHP環境を対象に更新を強く勧めています。特にApacheのmod_phpでは、アプリケーションの処理が始まる前に認証なしのリクエストから成立する攻撃が制御された環境で実証されたと説明しています。PHP-FPMなど他の実行方式も一律に安全とはされていませんが、成立条件や検証状況は同じではありません。

GitHub Security Advisoryは影響範囲を「8.2.35未満、8.3.36未満、8.4.27未満、8.5.12未満」と記載しています。これはPHP 8.1以前が安全という意味ではありません。PHP公式は8.1以前を通常サポートの対象外とし、今回に限り7.4、8.0、8.1向けの最小限のソース修正も公開しました。古い版を含む正確な対応状況は、OSやサーバー事業者によるバックポートの有無も含め、配布元の案内で確認します。

IPAは修正版公表前の2026年10月21日に準備を促す注意喚起を出し、その公表時点では悪用を確認していないと記載しました。10月22日の続報では、影響を受ける8.2〜8.5系と4つの修正版を示し、8.1以前はサポート終了であるため、サポート対象版や対策済みサービスへの移行も検討するよう案内しています。その後、Cloudflareは、顧客を標的とする攻撃トラフィックを観測したと公式ブログで公表しました。ただし、攻撃の試行を観測したことと、侵害の成功や具体的な被害組織を確認したことは同じではありません。2026年10月22日18時30分（日本時間）の確認時点で、採用した一次資料から成功した侵害事例は確認できませんでした。

どんな被害が考えられるのか

リモートコード実行が成立すると、攻撃者がネットワーク越しにサーバー上で不正な命令を動かせる可能性があります。結果として考えられる影響には、次のものがあります。

Webサイトや保存データの閲覧・改変
サービス停止や不正なページへの書き換え
サーバーに保存された認証情報などへのアクセス
侵入後のマルウェア設置や、ほかのシステムへの足掛かり

実際の影響範囲は、PHPを動かすアカウントの権限、サーバーの分離、保存情報、監視状況などで変わります。ランサムウェアやフィッシングと同じく、脆弱性名だけから実際の被害を断定せず、調査結果を確認する必要があります。

サイト運営者が確認すべきこと

まず「PHPを使っているか」「どのバージョンか」「誰が更新を管理するか」を確認します。

管理画面、サーバー情報、契約先の案内などでPHPの利用とバージョンを確認する
PHP公式に加え、OS、レンタルサーバー、クラウド、製品ベンダーの案内を確認する
修正版または配布元が提供する修正済みパッケージの適用を計画する
更新前にバックアップと復旧手順を確認する
検証環境があれば先に動作を確認し、本番更新後も主要機能を確認する
必要に応じてアクセスログやサーバーログを保全し、不審な挙動や侵害の痕跡を調べる

対応方法は運営形態で異なります。

運営形態	主な確認先・注意点
レンタルサーバー	事業者のお知らせと管理画面を確認する。利用者がPHP本体を直接更新できない場合がある
WordPressサイト	PHP更新とWordPress本体・テーマ・プラグインの更新を分けて考える。事前のバックアップと互換性確認を行う
自社・クラウドサーバー	OSやコンテナの配布元、構成管理、実行方式を確認し、修正版適用とログ調査を管理者が行う

更新に不安がある場合は、自己判断で設定を変更する前に、ホスティング事業者や保守担当者へ確認します。PHP公式は設定による軽減策も説明していますが、この脆弱性自体を解消するには修正版の適用が必要だとしています。ただし、更新は更新前の侵害有無を調べたり、侵害後の復旧や認証情報変更を行ったりする対応の代わりにはなりません。

一般のWebサイト利用者が知っておくこと

Webサイトを閲覧するだけの利用者が、自分のスマートフォンやパソコンのPHPを更新する必要は通常ありません。PHPは多くの場合、サイト運営者側のサーバーで動いているためです。

利用しているサービスから情報漏洩やパスワード変更の案内が出た場合は、メール内のリンクを急いで開かず、公式サイトや公式アプリから発表を確認します。漏洩した情報の種類に応じて、パスワード変更、使い回しの解消、多要素認証（MFA）の設定、不審な利用履歴の確認などを検討します。

よくある誤解

PHPを使うWordPressサイトは、すべて侵害された？

いいえ。脆弱性の影響対象であることと、侵害されたことは別です。利用中のPHPバージョン、配布元の修正状況、実行方式、設定、攻撃の有無を個別に確認します。

PHPを更新すれば、WordPressの脆弱性も全部直る？

直りません。PHP本体と、WordPress本体、テーマ、プラグインには別々の更新があります。それぞれの公式情報を確認します。

修正版へ更新すれば、過去に侵害されていても元に戻る？

更新は今後の悪用を防ぐために重要ですが、過去の侵害や改変を自動で取り消すものではありません。侵害が疑われる場合は、ログやファイルの調査、認証情報の変更、復旧などを別に検討します。

バージョン番号が修正版と違えば、必ず未修正？

一概には言えません。OSやホスティング事業者が安全修正だけを旧バージョンへ取り込む「バックポート」を行う場合があります。PHPの表示だけで判断せず、配布元のセキュリティ情報を確認します。

ひとことで振り返る

PHPは、Webサイトの裏側でデータ処理やHTML生成を担うプログラミング言語です。2026年10月の重大な脆弱性には修正版が公開されていますが、脆弱性の存在と実際の侵害は分けて考え、運営環境の管理者や提供事業者の案内に沿って更新と確認を進めます。

参考資料

PHP Documentation Group, What is PHP?, 更新状況: 2026年10月22日確認, 対象: PHPの定義・サーバー側処理, 確認日: 2026年10月22日
PHP Project, Security advisory: Critical remote code execution vulnerabilities, update now, 公開日: 2026年10月21日, 対象: 脆弱性概要・対象環境・修正版, 確認日: 2026年10月22日
PHP Project, RCE via OOM corruption (GHSA-w8hw-w9fx-j79w / CVE-2026-109618), 公開日: 2026年10月21日, 対象: 影響バージョン・修正版・CVSS・成立条件, 確認日: 2026年10月22日
PHP Project, RCE via stale global state (GHSA-6wmf-4rv5-p3rp / CVE-2026-109619), 公開日: 2026年10月21日, 対象: 影響バージョン・修正版・CVSS・成立条件, 確認日: 2026年10月22日
PHP Project, Supported Versions, 更新状況: 2026年10月22日確認, 対象: サポート期間・EOL, 確認日: 2026年10月22日
IPA, 〖事前準備のお願い〗PHPのセキュリティリリース公開予定について, 公開日: 2026年10月21日, 対象: 国内向け注意喚起・公表時点の悪用確認状況・準備事項, 確認日: 2026年10月22日
IPA, PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell), 公開日: 2026年10月22日, 対象: 影響を受ける版・修正版・EOL版の対応, 確認日: 2026年10月22日
Cloudflare, Cloudflare deploys protections against php2shell vulnerability, 公開日: 2026年10月21日, 対象: 攻撃トラフィックの観測・WAF保護・更新の必要性, 確認日: 2026年10月22日
WordPress.org, Requirements, 更新状況: 2026年10月22日確認, 対象: WordPressとPHP・推奨バージョン, 確認日: 2026年10月22日