PHPの緊急更新、WordPress利用者は何を確認する？対象版と管理者への伝え方

この記事のポイント

2026年10月24日にJPCERT/CCとPHP開発元の公開情報を確認した。個別サイトの侵害有無は調査していない。画像はWebサイト管理のイメージ写真である。

JPCERT/CCは10月22日、PHPの脆弱性CVE-2026-109618とCVE-2026-109619について注意喚起した。悪用されると、Webサーバー上でPHPを動かしている権限の範囲で任意のコードを実行される可能性がある。

WordPressそのものの更新だけでは足りない。サーバー側のPHPが修正版かを確認する必要がある。対象は8.5.12、8.4.27、8.3.36、8.2.35より前の各系統である。

レンタルサーバーなら提供元の案内を先に見る

共用レンタルサーバーでは、PHP本体を事業者が更新する場合と、利用者が管理画面でバージョンを選ぶ場合がある。管理画面のPHP情報、事業者のお知らせ、サポート窓口の順に確認し、修正版へ移行する。古いテーマやプラグインが新しいPHPで動くか、バックアップとステージング環境で確かめたい。

JPCERT/CCは、不自然に長いPHPSESSID Cookie、不審なmultipart/form-dataリクエスト、PHPワーカーの異常終了や再起動などを確認項目に挙げている。ただし痕跡がなければ未侵害と断定できるわけではない。

固有の注意：PHP 8.1以前は通常の更新版が提供されない。開発元の緩和策は特定経路だけを対象とするため、サポート中の版への移行が基本である。