目次
WordPressを最新版にしたから、うちは大丈夫。
そう思っていたら、ちょっと待ってください。
10月21日の夜、総理と国家サイバー統括室がXで対応を呼びかけたPHPの脆弱性。これは、WordPressの更新だけでは直りません。
結論から言うと、WordPressでサイトを運営しているなら、今回の脆弱性には対応が必要です。
ただし、慌ててサイトを止めたり、難しいプログラムを触ったりする必要はありません。
まずやるのは、3つの確認だけです。
私は23年、人に仕事をお願いする側で会社を経営してきました。自社のサイトもLPも、WordPressで作って、人に任せて運営してきた側です。
だから、「サイトは持っているけど、中身のことはよく分からない」という経営者さんの気持ちは、とてもよく分かります。
この記事では、WordPressでサイトを持っている人に向けて、何が起きたのか、何をすればいいのかを、順番に解説します。
本編に入る前に、自分でやらなくていい仕事を手放して、売上につながる時間を増やしたい方へ。
土岐あい個別相談はこちら
https://book.enisha.co.jp/book/tokiai
1｜WordPressの更新と、PHPの更新は別物
PHPは、WordPressを動かす土台
WordPressは、PHPというプログラミング言語で動いています。
家にたとえると、WordPressが「家」で、PHPはその家が建っている「土台」。今回の問題は、その土台に見つかった穴です。
だから、家の中（WordPress本体やプラグイン）をどれだけ新しくしても、土台の穴はふさがりません。
何が起きたのか
PHPの開発チームは10月21日、重大な脆弱性2件を直した修正版を公開しました。日本時間だと21日の23時です。
深刻さを表す点数（CVSS v4.0）は、2件とも10点満点の9.2。ログインしていない外部の人から、サーバーの上で勝手にプログラムを動かされるおそれがあるものです。
直った版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35。PHP公式は「完全な回避策はなく、更新することだけが安全な選択肢」としています。
（出典：PHP公式サイト「Security advisory: Critical remote code execution vulnerabilities, update now」2026年10月21日）
同じ日、国家サイバー統括室は、修正をすぐ当てるのが難しい場合は、ウェブサイトを一時的に止めることもリスクを下げる有効な手の一つだと発信しています。
（出典：国家サイバー統括室（@cyber_forecast）2026年10月21日のポスト）
今回の問題は深刻度が高いので、「そのうちやろう」と放っておかず、できるだけ早く確認することをおすすめします。
2｜まずやってほしい3つの確認
確認①：契約しているレンタルサーバーを確かめる
エックスサーバー、ロリポップ！、さくらのレンタルサーバ、ConoHa WINGなど、どこと契約しているかを確認してください。
分からない場合は、サーバー会社からの請求メールや、サイトを作ってくれた制作会社に聞くのが早いです。
なぜこれが一番先かというと、PHPの更新は、契約しているサーバーによってやり方が変わるからです。
レンタルサーバーの多くは、PHPのセキュリティ修正をサーバー会社側で当てます。実際、21日には各社が緊急メンテナンスに入っていました。
（出典：日経クロステック「PHPの重大な脆弱性で緊急メンテナンス相次ぐ さくらやCygames、pixivなど」2026年10月21日）
つまり、自分で何かを変えなくても、サーバー会社の対応で直る場合も多いということ。まずは、契約しているサーバー会社の「お知らせ」「障害・メンテナンス情報」のページを見てください。
確認②：WordPressで今のPHPの版を確かめる
WordPressの管理画面にログインして、次の順番で進みます。
ツール → サイトヘルス → 情報 → サーバー → PHPバージョン
ここに表示された数字を、直った版と比べてみてください。
・8.5なら 8.5.12 以上
・8.4なら 8.4.27 以上
・8.3なら 8.3.36 以上
・8.2なら 8.2.35 以上
ただし、サーバー会社によっては、版の番号はそのままで、独自に修正を当てていることもあります。番号が古くても慌てず、サーバー会社のお知らせで「対応済みかどうか」を確認するのが確実です。
8.1以前の古い版を使っている場合は、PHP公式の更新版は出ません。サーバー会社の案内を確認して、新しい版への切り替えを検討してください。
確認③：バックアップが取れているかを確かめる
PHPの版を上げると、古いテーマやプラグインとの相性で、サイトが正しく表示されなくなることがあります。
だから、版を変える前のバックアップがとても大事です。
・サーバー会社の自動バックアップが有効になっているか
・WordPressのバックアップ用プラグインで、最近のバックアップが残っているか
・いざというとき、誰がどうやって戻すのか
この3つを確かめておきましょう。
この3つを確認しておけば、自分で版を切り替えるときも、サーバー会社や制作会社に相談するときも、話がぐっと早くなります。
3｜確認したあとの「次の一手」
パターンA：サーバー会社が「対応済み」と案内している
基本的には、それで土台の穴はふさがっています。念のため、サイトヘルスのPHPの版も見ておきましょう。
パターンB：自分で版を切り替える必要がある
サーバーの管理画面（サーバーパネル）で、サイトごとにPHPの版を選べることが多いです。
・必ずバックアップを取ってから切り替える
・切り替えたら、トップページ、問い合わせフォーム、予約・決済のページなど、大事なページを一通り表示して確認する
・表示がおかしくなったら、元の版に戻して、制作会社や詳しい人に相談する
パターンC：会社が自分で管理しているサーバー・VPS
PHPの更新は、サーバーの担当者の仕事です。担当者に「今回のPHPの件、対応済みですか」と確認してください。
会員サイトやネットショップは、とくに慎重に
ログイン情報や会員情報、注文情報を扱っているサイトは、修正の適用状況が確認できるまで、とくに慎重に扱いたいところです。
アクセスを制限したり、一時的にサイトを止めたりすることも選択肢になります。
ここで注意してほしいのが、WordPressの「メンテナンスモード」だけでは、今回の脆弱性の対策にならないということ。
メンテナンスモードは、見た目に「メンテナンス中」と表示するだけで、土台のPHPは動いたままです。止めるなら、サーバー側でアクセスを止める必要があります。
4｜やりがちな勘違い
・「WordPressを最新版にしたから大丈夫」→ WordPressとPHPは別物です。今回直す必要があるのは土台のPHPです。
・「パスワードを変えたから大丈夫」→ 今回の穴は、ログインしなくても狙われるタイプです。パスワードでは防げません。
・「小さなサイトだから狙われない」→ こういう攻撃は、規模に関係なく機械的に広く試されます。
・「メンテナンスモードにしたから大丈夫」→ 表示が変わるだけで、PHPは動いています。
5｜サイトを持つ経営者が、今のうちに決めておくこと
今回、私がいちばん伝えたいのは、ここです。
ホームページを作ってもらっても、保守の約束をしていないと、こういう夜に頼れる人がいません。
「誰に連絡すればいいのか分からない」
これが、サイトを持つ経営者にとっていちばん怖いことだと思います。
そして、これからのAI時代に、100%安全なサイトはありません。どこまでお金をかけて守るかは、経営者が決めることです。お金をかけても100%にはならない。それも分かったうえで決めておく必要があります。
今回の件をきっかけに、この3つだけは決めておきましょう。
・サーバーの契約情報とログイン情報を、どこに保管しているか
・何かあったときに連絡する人（制作会社・保守の担当者）は誰か
・保守を頼むなら、どこまで（更新の確認、バックアップ、何かあったときの連絡）を頼むか
6｜保存用：わたしのサイトの確認シート
ここからは書き込み欄です。サイトの数だけ書き出してみてください。
・サイト名／URL：
＿＿＿＿＿＿
・契約しているサーバー（会社名・プラン）：
＿＿＿＿＿＿
・サイトヘルスで見たPHPの版：
＿＿＿＿＿＿
・サーバー会社のお知らせで確認したこと：
＿＿＿＿＿＿
・バックアップ（どこに・いつのものが・誰が戻せる）：
＿＿＿＿＿＿
・何かあったときに連絡する人：
＿＿＿＿＿＿
・保守の約束（あり・なし・決めていない）：
＿＿＿＿＿＿
書けたら、「何かあったときに連絡する人」の欄を見てください。ここが空いていたら、今回の件が片付いたあとに、いちばん先に埋めたいところです。
7｜まとめ：慌てず、3つ確認して、次の一手
10月21日、PHPの重大な脆弱性2件の修正版が公開されました。WordPressはPHPで動いているので、WordPressのサイトを持っている人は対応が必要です。
ただし、慌ててサイトを止めたり、難しいことをしたりする必要はありません。
まずやるのは3つ。
・契約しているレンタルサーバーを確かめる
・サイトヘルスでPHPの版を確かめる
・バックアップが取れているか確かめる
そのうえで、サーバー会社の対応を確認し、必要なら版を切り替える。会員情報を扱うサイトは、メンテナンスモードではなくサーバー側で止める。
／
土台の穴は、WordPressの更新ではふさがらない。
＼
サイトの保守や更新のように、自分でやらなくていい仕事は、手放していいんです。
土岐あい個別相談はこちら
https://book.enisha.co.jp/book/tokiai
【出典】
・PHP公式サイト「Security advisory: Critical remote code execution vulnerabilities, update now」2026年10月21日（CVE-2026-109618、CVE-2026-109619）
・国家サイバー統括室（@cyber_forecast）2026年10月21日のポスト
・日経クロステック「PHPの重大な脆弱性で緊急メンテナンス相次ぐ さくらやCygames、pixivなど」2026年10月21日
