「WordPressでホームページを作っているけれど、セキュリティ対策って何をすればいいの？」
「PHPに重大な脆弱性が見つかったって聞いたけど、私のホームページは大丈夫？」
そんな不安を感じていませんか？
2026年10月21日、WordPressを動かすために使われているプログラミング言語「PHP」に、重大な脆弱性が見つかったことが公表されました。
ニュースを見て「自分のホームページも危ないの？」と心配になった方もいるかもしれません。
でも、専門知識がないからといって、必要以上に慌てることはありません。
まずは、ご自身のWordPressがどんな環境で動いているのか、そして利用中のレンタルサーバーがどのような対策を行っているのかを確認することが大切です。
今回は、普段WordPress初心者の方向けに講座を行っている私が、難しい専門用語をできるだけ使わずに、
今回のPHPの脆弱性とは何なのか
自分のホームページが影響を受ける可能性はあるのか
PHPのバージョンを確認する方法
安全に更新するための注意点
自分では対応が難しい場合の対処法
について解説していきます。
この記事を読みながら、一緒にご自身のサイトを確認してみましょう！
※この記事は2026年10月28日時点の情報をもとに作成しています。セキュリティ情報は随時更新されるため、最新の対応状況はPHP公式サイトやご利用中のレンタルサーバーの案内も確認してください。
① 2026年10月、PHPに何が起こった？
そもそもPHPって何？
WordPressでホームページを作っている方でも、「PHP」という言葉はあまり聞き慣れないかもしれません。
簡単にいうと、PHPはWordPressを裏側で動かしてくれているプログラミング言語です。
例えば、ホームページを見に来た人に記事を表示したり、お問い合わせフォームを処理したりする際にも使われています。
WordPressの管理画面で普段行っている操作も、PHPなどの仕組みに支えられています。
つまり、自分でプログラミングをしたことがなくても、WordPressを使っているならPHPは無関係ではないんです。
今回発見された「PHP2Shell」とは？
2026年10月21日、PHPの開発元から、次の2つの重大な脆弱性が公表されました。
CVE-2026-109618
CVE-2026-109619
これらは「PHP2Shell（PHP2shell）」という名前でも呼ばれています。
「脆弱性」というのは、システムに存在するセキュリティ上の弱点のこと。
今回の問題は、この弱点を悪用されると、条件によっては第三者が外部からサーバー上で不正なプログラムを実行できてしまう可能性がある、というものです。
2026年10月22日には、日本の情報処理推進機構（IPA）からも注意喚起が出されました。
ただし、ここで知っておいてほしいのは、WordPressを使用しているサイトがすべて攻撃されたという意味ではないことです。
実際に影響を受けるかどうかは、PHPのバージョンやサーバー側の対策状況などによって異なります。
今回の問題はWordPress本体ではなく、WordPressを動かしているPHP側の問題です。
そのため、WordPress本体やプラグインを最新版にしているだけでは、今回の脆弱性への対応として十分とは限りません。
② 自分のWordPressは大丈夫？PHPのバージョンを確認しよう
「難しそう……」と思った方も大丈夫！
まずはWordPressの管理画面から、現在のPHPのバージョンを確認してみましょう。
PHPのバージョン確認手順
STEP1：WordPressの管理画面にログインする
いつも記事の投稿やホームページの編集を行っている管理画面を開きます。
STEP2：「ツール」→「サイトヘルス」をクリックする
左側にあるメニューから「ツール」を選択し、「サイトヘルス」をクリックします。
STEP3：「情報」のタブをクリックする
サイトヘルスの画面が開いたら、上部にある「情報」を選択してください。
STEP4：「サーバー」を開く
画面内にある「サーバー」という項目をクリックして展開します。
STEP5：「PHPバージョン」を確認する
「PHPバージョン」という項目に、現在利用しているPHPのバージョンが表示されます。
例えば、
PHP 8.1.34
PHP 8.2.34
PHP 8.3.35
PHP 8.4.26
などです。
数字を確認できたら、メモしておきましょう。
ここまでできれば、最初のステップはクリアです！
PHPのバージョンが古かったら危険？
今回の脆弱性について、PHPの開発元は次の修正版を公開しています。
PHPの種類今回の脆弱性を修正したバージョンPHP 8.5系8.5.12以降PHP 8.4系8.4.27以降PHP 8.3系8.3.36以降PHP 8.2系8.2.35以降
例えば、PHP 8.3.35を利用している場合、通常の未修正のPHPであれば今回の脆弱性の影響を受ける可能性があります。
ただし、表示されているバージョン番号だけで、危険か安全かを判断できないケースもあります。
というのも、レンタルサーバー会社が古いPHPに独自の修正プログラムを適用している場合があるからです。
つまり、PHPのバージョンが古く表示されていても、すでに今回の問題への対策が行われていることがあるんです。
そのため、次に確認してほしいのが、利用しているレンタルサーバーの情報です。
レンタルサーバー会社の対応状況を確認しよう
WordPressを運営している方の多くは、次のようなレンタルサーバーを使用していると思います。
エックスサーバー
ロリポップ！
さくらのレンタルサーバ
ConoHa WING
など、、、
ご自身が契約しているレンタルサーバーの公式サイトを開き、お知らせやメンテナンス情報を確認してみてください。
「PHP 脆弱性」「PHP2Shell」「CVE-2026-109618」などのキーワードで探すと、該当する案内を見つけやすくなります。
確認したいのは、次の3つです。
今回の脆弱性について対応が完了しているか
自分が利用しているPHPのバージョンも対応対象か
利用者自身で追加の設定や更新が必要か
サーバー会社がすでに必要な対応を完了している場合、今回の脆弱性に対して利用者がすぐにPHPを変更する必要がないこともあります。
ただし、今回の修正が適用されていても、サポートが終了した古いPHPを使い続けることには別のリスクがあります。
PHP 8.2以前を利用している場合は、今後の安全性のためにも、サポート中のPHPへの移行を検討しましょう。
③ PHPの更新方法と、変更前に知っておきたい注意点
「PHPのバージョンを変えた方がいいみたい！」
そう思っても、何も準備せずに変更するのはおすすめしません。
なぜなら、PHPのバージョンを変更すると、WordPressのテーマやプラグインが正常に動かなくなる場合があるからです。
例えば、
ホームページの表示が崩れてしまう
一部の機能が動かなくなる
お問い合わせフォームでエラーが出る
管理画面が開けなくなる
といったトラブルが起きる可能性があります。
安全に更新するためには、事前準備が大切です。
なお、今回の脆弱性への対応は重要なので、準備を理由に長期間放置するのも避けましょう。更新が難しい場合は、サーバー会社や専門家に早めに相談してください。
更新前にやっておきたいこと
1. ホームページのバックアップを取る
まずは、万が一に備えてバックアップを取りましょう。
バックアップとは、ホームページのデータを保存しておくことです。
WordPressでは、画像やテーマなどのファイルに加え、記事や設定が保存されているデータベースも重要です。
レンタルサーバーのバックアップ機能などを確認し、必要なデータを復元できる状態にしておきましょう。
2. テーマやプラグインの対応状況を確認する
例えば、SWELLやCocoon、Elementorなどを利用している方は、現在使用しているバージョンが変更先のPHPに対応しているか確認しましょう。
特に、長期間更新されていないプラグインや、独自にカスタマイズされた機能がある場合は注意が必要です。
3. 可能であればテスト環境で確認する
レンタルサーバーにテスト環境を作る機能がある場合は、実際のホームページを変更する前に動作確認すると安心です。
PHPのバージョンはどこで変更するの？
PHPのバージョンは、通常、WordPressの管理画面ではなく、契約しているレンタルサーバーの管理画面から変更します。
サーバーによって操作方法は異なりますが、基本的な流れは次のとおりです。
契約しているレンタルサーバーの管理画面にログインする
「PHP設定」や「PHPバージョン設定」などのメニューを開く
対象のドメインを選択する
サーバーが提供する、修正済みでサポート中のPHPバージョンを選択する
変更を保存する
ホームページが正常に動作するか確認する
※メニュー名や設定方法はレンタルサーバーごとに異なります。
また、サーバー側ですでに対策済みの場合は、無理にバージョンを変更せず、サーバー会社の案内に従ってください。
更新後はここをチェック！
PHPを変更したら、次の項目を確認しましょう。
ホームページのトップページが正常に表示される
投稿ページや固定ページが開く
画像やデザインが崩れていない
お問い合わせフォームが正常に動く
WordPressの管理画面にログインできる
スマートフォンでも問題なく表示される
ネットショップや予約システムなどを利用している場合は、そちらの機能も確認してください。
PHPの更新は「設定を変更したら終わり」ではなく、変更後の動作確認まで行うことが大切です。
④ 自分で更新するのが不安な場合はどうすればいい？
ここまで読んで、
「PHPのバージョンは確認できたけど、変更するのは怖い……」
「テーマやプラグインが対応しているか、どうやって調べればいいかわからない」
と思った方もいるかもしれません。
WordPressは、プログラミングの知識がなくてもホームページを作れる便利なツールです。
でも、実際に運用を始めると、PHPやサーバー、プラグインなど、初めて聞く言葉がたくさん出てきますよね。
大切なのは、すべてを一人で解決できるようになることではありません。
自分で確認できることと、専門家に相談した方がよいことを知っておくこと も、ホームページを安全に運用するための大切なスキルです。
もし、PHPの変更やWordPressのエラー対応に不安がある場合は、無理に操作を進めず、詳しい人に相談することも検討してみてください。
最後に！今日できる3つのチェック
今回のPHPの脆弱性について、WordPressを利用している方にまず確認してほしいのは、この3つです。
WordPressのサイトヘルスでPHPのバージョンを確認する
契約しているレンタルサーバーの脆弱性対応状況を確認する
必要な更新があるか確認し、バックアップや動作確認の準備をする
PHPの脆弱性と聞くと難しく感じるかもしれませんが、まずは自分のサイトの状況を知ることから始めれば大丈夫です。
ホームページは作って終わりではなく、安心して使い続けるためのメンテナンスも大切です。
この機会に、ご自身のWordPressの設定をぜひ確認してみてくださいね！
