今回の脆弱性はWordPressではなくPHP本体の問題です。WordPressを更新しても直らないため、まず使っているPHPのバージョンを確認し、サーバー会社の案内に従ってPHPを更新してください。
何が起きたのか
報道によると、2026年10月21日、PHPの開発チームが重大な脆弱性2件を修正する緊急のセキュリティ更新を公開しました。主なポイントは次のとおりです。
| 対象 | PHP本体（WordPressに限らず、PHPで動くアプリケーション全般） |
|---|---|
| 深刻度 | 報道ではCVSS 9.2と、非常に高いと評価 |
| 危険性 | ログインしていない第三者から、遠隔で不正な操作をされるおそれ |
| 状況 | セキュリティ企業は、すでに攻撃が始まっていると報告 |
| 対策 | PHP本体を修正済みのバージョンに更新する |
なぜWordPressの更新では直らないのか
WordPressは、PHPというプログラム言語の上で動いています。今回の穴は土台であるPHPの側にあるため、上に乗っているWordPressをいくら更新しても塞がりません。
WordPress・テーマ・プラグインに加えて、PHPという土台まで最新に保ち続けなければならない。この「守る範囲の広さ」こそが、WordPressの運用が難しいと言われる理由です。
今日やるべき5つのこと
- 使っているPHPのバージョンを確認する
確認方法は次の章で解説します。 - サーバー会社のお知らせを確認する
緊急メンテナンスや、PHPの更新方法が案内されていないか確認します。 - PHPを修正済みのバージョンに更新する
サーバーの管理画面から切り替えられることが多いです。更新前にバックアップを取りましょう。 - 使っていないWordPressサイトを止める
放置されたサイトは、真っ先に狙われます。 - 不要なプラグインを削除する
PHPを更新したあと、使っていないプラグインも整理しておくと安全です。
PHPのバージョンを確認する方法
WordPressの管理画面から確認する
- 管理画面にログインする
- 「ツール」→「サイトヘルス」を開く
- 「情報」タブの「サーバー」を開き、「PHP のバージョン」を確認する
サーバーの管理画面から確認する
多くのレンタルサーバーでは、管理画面の「PHPバージョン設定」などの項目で、ドメインごとのバージョンを確認・変更できます。
今後の選択肢：守り続けるか、移るか
今回のような脆弱性は、今後も起こり得ます。そのたびに対応し続けるか、守る必要が少ない仕組みに移るかを考えるタイミングです。
| 選択肢 | PHPの脆弱性への備え |
|---|---|
| WordPress＋Cloudflare | 攻撃を手前で止めやすくなる。ただしPHPの更新は引き続き必要 |
| 静的サイト | PHPを動かさないため、PHPの脆弱性が悪用される入口がない |
| EmDash | PHPではなく別の技術で動く新しいCMS。プラグインも隔離して動かす |
それぞれの違いはWordPressの代替CMS比較、乗り換えの進め方は脱ワードプレス完全ガイドで解説しています。
よくある質問
WordPressを最新版に更新すれば、今回の脆弱性は防げますか？
防げません。今回の脆弱性はWordPressではなくPHP本体にあるため、PHPそのものを修正済みのバージョンに更新する必要があります。
レンタルサーバーを使っていれば安心ですか？
大手のレンタルサーバーは緊急対応を進めていると報じられていますが、古いPHPを選んだまま使い続けている場合や、自社管理のサーバーでは自分で対応が必要です。サーバー会社のお知らせを必ず確認してください。
静的サイトなら今回の脆弱性の影響を受けませんか？
PHPを動かさない静的サイトであれば、PHP本体の脆弱性が悪用される入口はありません。
参照元
- GIGAZINE（2026年10月21日）
- Patchstack：PHP major vulnerability alert
- WPBeginner 日本語版
- 最終確認日：2026年10月27日。対象バージョン等の詳細は、PHP公式サイト・IPA・ご利用のサーバー会社の発表をご確認ください。
URLを送るだけ。PHPやプラグインの状態から危険度をお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
