【2026年10月】WordPress・PHPのセキュリティニュースまとめ：本体7.1.4、PHP2Shell、UpdraftCentralの鍵の悪用ほか

この記事の結論

2026年10月は、WordPress本体のセキュリティ更新が2回（7.1.3と7.1.4）、PHPの重大な修正（PHP2Shell）、プラグインを通じた攻撃（Bricksforge、UpdraftCentralの鍵の悪用）が重なった月でした。WordPressを7.1.4に、PHPを8.2.35／8.3.36／8.4.27／8.5.12以降にし、UpdraftPlusを使っているなら知らない管理者がいないかまで確かめておきましょう。

WordPressのサイトを持つ担当者が「10月に何があり、何を確かめればいいか」を一度で把握できるよう、公式発表と国内の注意喚起だけで整理した月次のまとめです。

この記事の情報について2026年11月2日時点の、WordPress.org、PHP公式（php.net）、IPA（情報処理推進機構）、JPCERT/CC、Patchstack社の公開情報をもとにまとめています。時刻はとくに断りがなければ発表元の日付です。脆弱性の情報は公開後も更新されるため、対応するときは各発表元の最新の情報を確かめてください。

今月の結論：やるべきこと6つ

WordPress本体が7.1.4（7.0系なら7.0.8）になっているか、管理画面の「ダッシュボード」→「更新」で確かめる
PHPの版を「ツール」→「サイトヘルス」→「情報」→「サーバー」で確かめ、8.2.35／8.3.36／8.4.27／8.5.12より前なら更新する（8.1以前は修正版が出ない）
PHPが8.2系なら、セキュリティ修正が2026年12月31日で終わるため、8.3以降へ上げる準備を始める
Bricksforgeを使っているなら3.1.8.10以降か確かめる
UpdraftPlusを使っているなら最新版に更新し、知らない管理者・身に覚えのないプラグインがないか見る
自社でサーバーを運用しているなら、SiteGuard Server Editionなどサーバー側の部品の更新も確かめる

10月の出来事（時系列）

日付	出来事	WordPressサイトへの関係
10月6日	WordPress 7.1.3（セキュリティ修正7件・不具合修正4件）、7.0.7	本体の更新
10月7日	Bricksforgeの認証なしファイルアップロード（CVE-2026-85097）がPatchstackのデータベースで公表／Movable Typeの脆弱性（IPA）	該当プラグインの利用者
10月8日・9日	JPCERT/CCとIPAが、国内で相次ぐ不正アクセス・情報漏えいについて注意喚起	公開しているサービス全般
10月14日	SiteGuard Server Editionの脆弱性（JPCERT/CC、悪用を確認）	サーバーに導入している場合
10月18日〜19日	UpdraftCentralの鍵を使ってバックドアを入れる攻撃をPatchstackが観測。19日にUpdraftPlus 1.26.12・1.26.13	UpdraftPlusの利用者
10月20日	PHPが重大な修正を予告（深刻度は2件とも9.2）	準備の呼びかけ
10月21日	PHP 8.5.12・8.4.27・8.3.36・8.2.35（PHP2Shell）。22日にIPA・JPCERT/CCが注意喚起	ほぼすべてのサイト
10月23日	PHPが別の問題（CVE-2026-115560）を情報公開。修正は次の定期リリース	特殊な設定の場合
10月26日	PHP2ShellがCISAの「悪用が確認された脆弱性」の一覧に掲載（現地時間）	攻撃が現実のものに
10月28日	WordPress 7.1.4（セキュリティ上の問題12件の修正と、ルート証明書の更新）、7.0.8	本体の更新

WordPress本体の更新：7.1.3と7.1.4

7.1.3（10月6日）

セキュリティ修正7件と不具合修正4件の更新です。コメント管理画面でのクロスサイトスクリプティング（ページに不正なスクリプトを仕込まれる穴）、書き出し機能でのSQLインジェクション、非公開の投稿についたコメントがログインなしで見えてしまう問題などが直されました。

7.1.4（10月28日）

発表には12件のセキュリティ上の問題と、ルート証明書の更新が並んでいます。多くは、保存された不正なスクリプトがほかの人の画面で動く種類（保存型のクロスサイトスクリプティング）です。ほかに次の問題も含まれます。

更新作業の途中に、遠隔からプログラムを実行されるおそれがある弱点
公開前のカスタマイザーの変更内容を、ログインしていない人が見つけられる問題
投稿を編集する権限のない人が、その投稿のメモ（ノート）を読める問題

押さえておきたい2つのこと

ポイント	内容	やること
古い系列への修正	どちらの更新も、修正は4.7系までの古い系列にもさかのぼって配るとしています（7.1.4の発表では「好意として」）。ただしリリース一覧は「安全に使え、積極的に保守されているのは7.1系の最新版だけ」としています	古い系列のままにせず、7.1系の最新版へ
報告者	7.1.3では7件中3件、7.1.4では12件中2件の報告者としてAnthropicの名前があり、7.1.3ではOpenAIと協力したTrail of Bitsの名前もあります	AIで穴が見つかる流れは続いている（解説記事）

PHPの更新：PHP2Shellと、その後に出た情報

10月最大のニュースは、PHPの2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619。まとめて「PHP2Shell」と呼ばれています）です。WordPressを動かしているPHPそのものの穴のため、WordPress本体の更新では直りません。何が起きたか、なぜ本体の更新で直らないかはWordPressセキュリティの今で詳しく解説しています。ここでは、10月中に出た情報を整理します。

日付	発表元	内容
10月21日	PHP・WordPress	PHPは「完全な緩和策はない」として更新を求めた。WordPress公式は、自分で管理するサーバーで8.2より前を使い、すぐ直せないならサーバーを止めることも検討するよう案内（英国NCSCの助言を引用）
10月26日	CISA（IPAの更新で紹介）	「悪用が確認された脆弱性」の一覧（KEV）に2件を掲載
10月29日	JPCERT/CC	実証コードが多数公開され、悪用を試みる通信の報告が相次いでいると説明。ある製品で侵害の痕跡が見つかったとの報告も追記

10月23日の追加情報（CVE-2026-115560）

PHPは、別の問題も情報公開しました。セッションの設定を途中で切り替える、まれな作りのアプリケーションでだけ起きるもので、PHPは次の定期リリースで直すとしています。それまでは session.upload_progress.enabled=0 にする設定が勧められています（21日にCVE-2026-109619の緩和策としても案内済み）。自分で設定を変える必要があるかは、サーバー会社に確かめてください。

PHP 8.2は年末でサポートが終わる

PHP公式のサポート期限の表では、8.2系のセキュリティ修正は2026年12月31日までです。今回8.2.35に上げて安心するのではなく、年内に8.3以降へ上げる計画を立てておきましょう。版の確かめ方と上げ方はPHPのバージョンとサポート期限の確認方法にまとめています。

注意が必要なプラグイン

Bricksforge（CVE-2026-85097）

Patchstackのデータベースによると、Bricksforgeの3.1.8.9以前に、ログインしなくても不正なファイルを置ける穴があり、深刻度は最高の10、悪用が確認された印がついています。修正版は3.1.8.10です。利用者は版を確かめ、更新前に不審なファイルが置かれていないかも確認してください。

UpdraftPlus（UpdraftCentralの鍵の悪用）

バックアップの定番プラグインUpdraftPlus（有効インストール数400万以上）に関わる件です。これはプラグインのプログラムの穴ではなく、遠隔からサイトを管理するための「鍵」が悪用されたものです。

Patchstackは、10月18日15時32分（協定世界時）から19日にかけて、UpdraftCentral（複数のサイトをまとめて管理する仕組み）の正規の鍵を使い、つながっているサイトにバックドア（裏口）となるプラグインを入れる攻撃を観測したと報告しています
仕込まれた裏口は、隠れた管理者並みのアカウントを作り、ログイン画面を通らないため2段階認証も効かないとされています
WordPress.orgの変更履歴では、10月19日の1.26.12で事件より前に作られたクラウドの鍵を無効にし、同日の1.26.13でその処理を正しく効くよう直しています。11月2日時点の最新版は1.26.14（10月26日更新）です

更新しても、入り込まれた跡は消えない鍵を無効にしても、すでに入れられた裏口やアカウントは残ります。Patchstackは、UpdraftCentralを使った覚えがなくても鍵が作られている場合があるとして確認を勧めています。知らない管理者、「編集者」なのに強い権限を持つユーザー、身に覚えのないプラグインがないか確かめてください。見つけ方はWordPressの乗っ取りを確認する方法で解説しています。

プラグインがなぜ狙われるのか、入れる・消すときの判断基準はWordPressのプラグインはなぜ狙われる？をご覧ください。

サーバーの部品・ほかのCMSの脆弱性

対象	内容	関係する人
SiteGuard Server Edition（10月14日）	サーバーに導入して使うセキュリティ製品で、統計機能（初期状態で有効）からOSのコマンドを実行される穴（CVE-2026-106931）。開発元が悪用を確認。JPCERT/CCは更新前に「診断情報」を取って痕跡を残すよう案内	自社や委託先のサーバーに導入している場合。対象としてJPCERT/CCが挙げているのはServer Editionです
Movable Type（10月7日）	コードインジェクションとSQLインジェクション（深刻度9.4ほか）。修正版は9.3.0ほか	WordPress以外のCMSも運用している場合

レンタルサーバーなら、多くはサーバー会社が対応します。お知らせメールや管理画面の告知を確かめておきましょう。

国内の注意喚起（IPA・JPCERT/CC）

10月は、国内で相次ぐ不正アクセスと情報漏えいについての注意喚起も出ました。

IPA（10月9日）：金融機関や通信事業者などで漏えいの公表が相次いでいるとして、外部に公開しているアプリケーションのログ（直近1か月、その後3か月）の確認、未適用の修正の適用、作った覚えのないアカウントの確認、不要な情報は持たないことなどを求めています
JPCERT/CC（10月8日公開、23日更新）：設定ファイルやバックアップファイルを盗もうとする試みなど、攻撃の型を挙げています。23日の更新では、AIを使った侵入テストの仕組みを悪用した攻撃の試みが加わりました

WordPressのサイトに置き換えると、次の点検が当てはまります。

公開フォルダに、バックアップファイルや古い設定ファイルの写しが置きっぱなしになっていないか
管理者のアカウントに、作った覚えのないもの・辞めた人のものが残っていないか
お問い合わせの記録など、保存期間を過ぎた個人情報をサイトの中に残していないか

被害の状況について分かっていること

PHP2Shellについて、IPAは10月27日の更新時点で国内の攻撃被害は把握していないとしています。一方でJPCERT/CCは、痕跡が見つからなくても攻撃を受けていないとは言い切れないとしています。

UpdraftCentralの件も、国内の被害件数は公式には示されていません。

11月以降に予定されていること

時期	予定	備え
次のPHP定期リリース	CVE-2026-115560の修正と詳しい情報の公開	サーバー会社の更新を確かめる
11月5日	PHP 8.6.0 RC5（試験版。本番では使わない）	―
12月8日	WordPress 7.2の公開予定	テーマ・プラグインの対応を確かめてから上げる（10月のBeta版は本番に入れない）
12月31日	PHP 8.2系のセキュリティ修正が終了	8.3以降へ上げる

過去のまとめ・関連記事

月次のまとめは今回が初回です。それ以前の大きな出来事は、wp2shell（2026年7月の本体の重大な脆弱性）と2026年の脆弱性データの記事で扱っています。

10月だけで、本体の更新が2回、PHPの重大な修正、プラグインの対応が重なりました。これを毎月追い続けるのが負担なら、守る場所そのものを減らす方法もあります。選択肢はWordPressをやめたい人へで整理しています。

よくある質問

WordPressは自動更新にしています。10月に何かする必要はありますか？

自動更新が止まっている・失敗していることもあるため、実際に7.1.4（7.0系なら7.0.8）になっているかを管理画面で確かめてください。また、PHPはWordPressの自動更新では上がりません。PHPの版はサイトヘルスの「情報」→「サーバー」で確かめられます。

7.0系のままでも大丈夫ですか？

10月には7.0系にも7.0.7と7.0.8が出ています。ただしWordPress.orgのリリース一覧は「安全に使え、積極的に保守されているのは7.1系の最新版だけ」としています。動作を確かめたうえで、7.1系へ上げることをおすすめします。

PHP2Shellは、レンタルサーバーを使っていれば関係ありませんか？

関係はあります。サイトごとにPHPの版を選べるサーバーでは、自分で新しい版に切り替える必要がある場合があります。WordPress公式も、サーバー会社の対応を確かめ、必要なら自分で更新するよう呼びかけています。8.1以前は修正版が出ないため、サポートされている版への切り替えが必要です。

UpdraftPlusを使っていますが、UpdraftCentralは使った覚えがありません。関係ありますか？

可能性があります。Patchstackによると、TeamUpdraftのアカウントにつなぐ操作でも鍵が作られ、その選択肢は初めから選ばれた状態でした。最新版（11月2日時点で1.26.14）に更新し、知らない管理者や身に覚えのないプラグインがないか確かめてください。

毎月このまとめを読めば、対策は足りますか？

足りません。攻撃は公表から数時間で始まることもあるため、自動更新の有効化と、サーバー会社やIPAの通知を受け取る仕組みが先です。このまとめは、更新の漏れを確かめるために使ってください。

参照元

10月の更新、自分のサイトに届いているか確かめませんか

URLを送るだけで、外から確認できる範囲で、WordPressの版や古い部品が残っていないかをお返しします。

無料でサイト診断 →

WordPress乗り換えラボ編集部

運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。

【2026年10月】WordPress・PHPのセキュリティニュースまとめ