PHPの脆弱性2026とサポート終了版の確認

PHPの脆弱性とは、ホームページを動かすプログラム言語PHPの不具合のうち、外部から悪用されるおそれのあるものです。2026年10月時点で対応が要るのは10月21日に公表された深刻度9.2の2件（PHP2shell）で、修正版は8.2.35・8.3.36・8.4.27・8.5.12、サポートが終わった8.1以前には修正したリリース版が出ません^[1][2][7]。PHPの開発元The PHP Groupが修正版を公開し、IPA（独立行政法人情報処理推進機構）は翌22日に注意喚起を出しました^[1][2]。

WordPressで作ったホームページは、すべてPHPの上で動いています。確かめることは、自社のサイトのPHPのバージョンと、そのバージョンに修正版が出るかどうかの2つです。自社のPHPのバージョンに修正版が出ない場合、選択肢は更新・作り直し・PHPを使わない作りへの移行・公開の終了の4つです。

PHP2shellは、どんな脆弱性ですか

PHP2shellは2026年10月に公表されたPHP本体の脆弱性2件（CVE-2026-109618、CVE-2026-109619）の通称です。悪用されると、サーバー上で攻撃者のプログラムを遠隔から実行されるおそれがあります^[1]。The PHP Groupは2件とも深刻度をCVSS v4.0で9.2、4段階で最も重い「Critical（緊急）」としています^[2][13]。CVSSは脆弱性の深刻さを0〜10で表す指標です。

修正版が出ているのは8.2系・8.3系・8.4系・8.5系で、それぞれ8.2.35・8.3.36・8.4.27・8.5.12より前が影響を受けます^[1]。サポートが終わった8.1以前も対象で、調査に関わったWiz社はPHP 5.4以降が影響を受けるとしています^[1]。IPAは事前告知で、自社が使っているPHPの棚卸しを求めていました^[6]。

公表の経緯、調査にAIが使われたこと、委託先への聞き方はPHP2shellとは？自社サイトの確認と対処にまとめました。この記事は2026年10月時点のPHPのサポート期限の一覧と、WordPressのサイトが動いているPHPのバージョンの割合を扱います。そのうえで、修正したリリース版が出ない古いバージョンで動くサイトをどうするかを中心に書きます。

自社サイトのPHPのバージョンは、どこで確かめますか

PHPのバージョンはWordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」にある「PHP バージョン」の行で確かめられます。管理者のIDがあれば、社内に担当者がいなくてもその場で確かめられます。手順は4つです。

1. 管理者アカウントでWordPressにログインする
2. 「ツール」→「サイトヘルス」を開く
3. 「情報」タブの「サーバー」を開く
4. 「PHP バージョン」の行の数字を3つ目まで読む

確かめたバージョンごとの対応は、まとめの表5に並べました。

PHPのサポート期限はいつですか（7.4〜8.5の一覧）

2026年10月時点でセキュリティの修正が出るPHPは8.2・8.3・8.4・8.5の4系統だけで、8.1以前はすべて期限を過ぎています^[3][8]。期限を過ぎたバージョンには、今回のような脆弱性が見つかっても、修正したリリース版が出ません。

7.4・8.0・8.1には、修正したリリース版は出ません。開発元は最小限の修正コードを公開しましたが、組み込むには技術者の作業が要ります^[7]。一部のLinuxディストリビューションや長期サポートの事業者は、独自に修正を当てています。自社のサーバーがそうなっているかは、サーバー会社や制作会社に聞かないと分かりません。確実に直すには、サポート中のバージョンに上げます^[7]。8.3で動いているなら、8.3.36に上げれば10月21日に公表された2件は修正されます。

8.2には今回、修正版8.2.35が出ていますが、8.2のセキュリティの修正は2026年12月31日で終わります^[3]。8.2で動いているサイトは、まず8.2.35に更新してください。そのうえで、年内に8.4以上へ上げる予定を立てます。7.4や8.1から上げる場合は、8.2と8.3を飛ばして、セキュリティ修正が2028年12月31日まで続く8.4以上を選んでください^[3]。

WordPressのサイトは、どのバージョンで動いていますか

WordPressで動くサイトの約34%は、サポートが終わったPHP 8.1以前で動いています（WordPress.orgの統計、2026年10月24日取得）^[5]。2026年10月24日に取得した値では、7.4が15.3%、8.1が9.8%でした^[5]。年末に期限を迎える8.2（23.3%）を加えると、6割近くになります。

WordPress.orgのPHPバージョン統計は参考値です。この統計には集計日の表示がなく、合計はAX総合研究所がバージョンごとの値を足したものです。WordPressの公式要件は「PHP 8.3以上」を推奨しています。7.4以上でも動くものの、公式のサポートは終わっていて脆弱性にさらされうると明記しています^[4]。この要件と合わせると、推奨を満たしていないサイトが6割近くあると読み取れます。

日本語のサイトでは、WordPressを使う割合が8割を超えます。W3Techs（Webサイトで使われている技術の割合を調べる海外の調査サイト）によると、CMS（ホームページを更新するための仕組み）を判別できた日本語サイトのうち、82.9%がWordPressを使っています（2026年10月24日時点）^[9]。自社のホームページがWordPressで作られていれば、今回の確認の対象です。

放置すると、会社に何が起きますか

サーバー上でプログラムを実行されると、ホームページの書き換え、問い合わせフォームに入った個人情報の持ち出し、ほかのサイトへの攻撃の踏み台への転用が起こりえます。

IPAの「情報セキュリティ10大脅威 2026」は、組織向けの4位に「システムの脆弱性を悪用した攻撃」を挙げています^[10]。解説書はインターネットから直接アクセスできる製品として、VPN機器と並んで「CMS（プラグインを含む）」を名指しし、攻撃プログラムが公開された場合は多くの企業に被害が及ぶおそれがあると書いています^[10]。同じ解説書の別の章は使っている製品のサポート期限を把握し、切れる前に移行計画を立てるよう求めています^[10]。

Webサイト改ざんの報告も増えています。JPCERTコーディネーションセンター（JPCERT/CC。国内のセキュリティ事故の報告窓口）に寄せられたWebサイト改ざんの報告は、2026年7〜9月の3か月で603件でした。前の3か月は181件でした^[11]。報告された事例の1つでは、国内の複数の正規のサイトに、海外のオンラインカジノへのリンクを含むHTMLが見えない形で5,000行以上埋め込まれていました^[11]。

JPCERT/CCの603件はWordPressやPHPに限った数ではありません。報告ベースの件数で、使われていた仕組みの内訳も示されていません。言えるのは、Webサイトの改ざんとしてJPCERT/CCに報告された件数がこの3か月で約3.3倍になった、というところまでです^[11]。

見えない形の改ざんは表示が普段どおりのため、外から指摘されるまで気づかないことがあります。JPCERT/CCは、この埋め込みを攻撃者が自分のページの検索順位を上げるための不正なSEOと見ています^[11]。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、ウェブサイトは誰でもアクセスできるため攻撃の対象になりやすく、改ざんによって自社だけでなく利用者にも被害が出ることを懸念点に挙げています^[12]。

PHPのバージョンを上げられないときは、どうしますか

PHPのバージョンを上げられないときの選択肢は、保守会社に頼んで更新する、WordPressで作り直す、PHPを使わない作りに移す、公開をやめるの4つです^[1]。PHPのバージョンを上げると、テーマやプラグインが新しいPHPで動かなくなることがあります。IPAは長く更新していないシステムでは資料の不足、担当者の不在、保守契約の終了によって対策が難しい場合があると指摘しています。そのうえで、更新を続ける人員や予算を確保できない場合は、保守を受けられる製品への移行や機能の縮小、公開の終了も検討するよう求めています^[1]。

IPAは、更新や移行が終わるまでの間も放置せず、暫定対策やアクセス制限を講じ、それが難しければ外部からのアクセス遮断やサービスの一時停止を判断するよう求めています^[1]。

PHPを使わない作りとは、サーバー側でプログラムを動かさないホームページ（静的サイト）のことです。ページをあらかじめHTMLのファイルとして作っておき、それを配信するだけにします。PHPもデータベースもサーバーに置かないので、今回のようなPHPの脆弱性は対象外になり、期限ごとのバージョンアップもなくなります。

静的サイトに移せないのは、会員ログイン、ネットショップ、予約システムのように、訪問者ごとに中身が変わる仕組みです。会社案内、サービス紹介、お知らせで構成されたホームページは、静的サイトに移せます。お問い合わせフォームの受け付け方は、移行のご相談のときにお伝えします。

AX総合研究所はWordPressのホームページを静的サイトに移す作業を中小企業向けに提案しています。料金は、今の見た目のまま移す場合が10万円、デザインも新しくする場合が20万円で、いずれも税別の固定料金です（2026年10月時点）。料金に含むのは文章・画像の移し替え、表示の確認、公開の切り替えまでです。移行先はCloudflare（米国のWeb配信サービス）の静的ファイル配信で、静的なファイルへのリクエストは無料プランでも無料・無制限です（2026年10月時点）^[14]。Cloudflareの無料プランの条件が変わらない限り、ホームページのサーバー代と保守費は毎月かかりません。ドメインの更新料は今の登録先への支払いが続き、レンタルサーバーで会社のメールを使っている場合はメール用の契約も残ります。移行後のページの更新はAX総合研究所では行いません。作業の範囲と進め方はWordPressからの移行のサービス紹介にまとめています。

まとめ

今日やることは1つです。WordPressの管理画面の「サイトヘルス」で自社サイトのPHPのバージョンを確かめ、表5で対応を選んでください。

8.2.35・8.3.36・8.4.27・8.5.12以上なら、10月21日に公表された2件は修正済みです。php.netは10月23日に、起こりにくい条件で悪用されうる別の問題も告知しているため、設定の確認を保守会社に頼んでください^[15]。

8.4に上げても、セキュリティ修正は2028年末に終わり、期限のたびにテーマとプラグインの動作確認が発生します。この確認を繰り返したくない場合は、静的サイトへの移行を検討してください。無料相談でホームページのアドレスを送っていただければ、移行できるかどうかと、2つの料金のどちらに当たるかをお返事します。ほかの記事は記事一覧から、AX総合研究所の所在地と事業内容は会社概要からご覧いただけます。

※脆弱性の情報と各ソフトウェアのサポート期限は2026年10月24日時点のものです。更新される場合があるため、対応の前にIPAとphp.netの最新の情報をご確認ください。