「ホームページはいつもどおり表示されているから大丈夫」。そう思っていませんか。実は、画面に異常がなくても、サーバーの内部にセキュリティ上の問題を抱えていることがあります。2026年10月に公表されたPHPの深刻な脆弱性は、ホームページを公開した後の保守を見直すきっかけになる出来事です。
2026年10月、PHPで何が起きた？
PHPは、WordPressなどをサーバー上で動かすために使われるプログラミング言語です。PHPプロジェクトは10月21日、認証されていない外部の攻撃者が、条件によってサーバー上でコードを実行できる、二つの重大な脆弱性への修正版を公開しました。識別番号はCVE-2026-109618とCVE-2026-109619。メモリー不足時の処理や、解放済みメモリーを参照する内部状態に関係する問題です。
対象はWordPressに限りません。PHPでWebリクエストを処理する環境全般に確認が必要です。攻撃が成立する条件は構成によって異なりますが、「小さなサイトだから」「ログイン画面を隠しているから」という理由では、対応不要とは判断できません。
「PHP 8系だから安心」ではありません
今回の二つの問題を修正した公式バージョンは、8.2系が8.2.35、8.3系が8.3.36、8.4系が8.4.27、8.5系が8.5.12です。「8.3を使っている」といった大まかな情報だけでなく、末尾の番号まで確認しましょう。サーバー会社が独自に修正を取り込む場合もあるため、表示番号だけで断定せず、提供元の対応案内と照合することが大切です。
PHP 8.1以前はPHPプロジェクトの通常のサポートが終了しています。今回は一部の旧版向けにも限定的な修正コードが提供されましたが、サポート再開を意味しません。旧版を利用している場合は、提供元による修正の有無を確認し、サポート中の系列への移行を進める必要があります。8.2系もセキュリティサポートは2026年末までのため、今後を見据えた計画が必要です。
WordPressの更新だけでは完了しません
WordPress公式も、今回の問題はWordPress固有の不具合ではなく、PHPの更新が必要だと案内しています。管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。サーバーの管理画面や、契約しているサーバー会社の告知も確認してください。
なお、10月23日にはPHP公式から追加の注意事項が出ています。特定のセッション設定とアプリケーションの処理が組み合わさる場合について、次の通常修正版まで「session.upload_progress.enabled=0」の設定が案内されています。実行中にセッションの保存形式を変更しないアプリケーションは、この機能を有効のまま利用できるとされています。21日の修正版を適用した後も、保守担当者に追加案内への該当有無を確認しましょう。
今、事業者が確認したいこと
まずは「誰がPHPを管理しているか」を明確にしましょう。サーバー会社、制作会社、自社の担当者で役割が分かれていることもあります。現在のバージョン、修正の適用状況、更新予定を確認し、対応の担当と期限を共有してください。
更新前にはサイトのファイルとデータベースのバックアップを取り、復元方法も確認します。そのうえでテーマやプラグインとの互換性を調べ、可能なら検証環境で動作を確認。更新後は表示だけでなく、お問い合わせフォームの送信、予約や購入など、お客様が使う機能までチェックしましょう。緊急性が高い問題なので、検証を理由に長期間先送りせず、担当者と速やかに進めることが大切です。
保守は、お客様との接点を守る仕事
ホームページの保守は、文章や写真の差し替えだけではありません。PHPやWordPress、テーマ、プラグインの更新、バックアップ、障害時の連絡体制まで整えて、事業の窓口を支える仕事です。
「ちゃんと表示される」から一歩進んで、「安心して使い続けられる状態か」を確かめる。今回のニュースを機に、自社サイトの管理状況と、困ったときの相談先を確認してみませんか。
情報確認日：2026年10月24日。本文は一般的な保守の考え方を説明するもので、Tomorrow Archのサイトや個別のお客様の対応完了を示すものではありません。
参考・公式情報
