PHPの重大な弱点の修正版が公開｜対象のバージョンとサイトの持ち主が決めること

WordPressをはじめ、多くのホームページやネットショップの仕組みが使っている「PHP」に、重大な弱点が2件見つかりました。
PHPの開発チームは2026年10月21日、これを直した修正版を公開し、すべての利用者にすぐ更新するよう呼びかけています。

前回の記事では、AIを使った不正アクセスの話の中でこの修正版に触れました。
この記事では、修正版で何が直ったのか、どのバージョンが対象か、すぐ更新できないときにどうするか、そしてサイトの持ち主が決めることを整理します。
内容は2026年10月23日時点で、PHPの公式サイトで確かめた情報です。

修正版で直った2つの弱点

PHPの開発チームは10月20日に「重大な弱点の修正を21日14時（世界標準時）に出す」と予告し、予定どおり日本時間の21日23時ごろに修正版を公開しました。
予告の時点で、2件とも深刻度の点数（CVSS v4.0）は10点満点中9.2とされていました。

公式の注意喚起によると、2件とも「ログインしていない外の人から、サーバーの上で好きな命令を実行されるおそれがある」弱点です。
命令を実行されると、サイトの書き換え、お客様の情報の持ち出し、ほかへの攻撃の踏み台など、サーバーでできることは何でもされうると考えてください。

対象は「Webのアクセスを受けているPHPすべて」です。
PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed と、サーバーでの動かし方を問わず名前が挙がっています。
中でもmod_phpがいちばん危ないとされ、ログインしていない1回のアクセスで、サイトのプログラムが動く前に攻撃が成り立つことが確かめられています。

対象のバージョンと更新先

修正版は、いまPHPの開発チームが面倒を見ている4つの系統それぞれに出ています。
使っている系統ごとに、次の番号以上にすれば対策済みになります。

表の期限は、PHPの公式サイトの「サポート中のバージョン」のページによるものです。
PHP 8.2は今回の修正版を受け取れますが、2026年12月31日で修正が止まります。
開発チームも、8.2の利用者に上の系統へ移る計画を立てるよう書いています。

注意したいのは、番号だけで判断できない場合があることです。
Linuxの配布元や長期サポートを売っている会社には、修正が前もって渡されていて、それぞれが自分のパッケージに修正を移しています。
この場合、PHPの番号が8.5.12などにならなくても、修正は入っていることがあります。
サーバーを自分で管理しているなら、配布元の案内で修正済みの版を確かめてください。

なお、PHP 7.4・8.0・8.1については、重大さを考えて、開発チームが最小限の修正をソースコードの形で出しています。
ただし、これは自分でPHPを組み立てる人向けのもので、通常の更新とは違います。

すぐ更新できないときの一時しのぎ

PHPの開発チームは、完全な対策は更新だけだとはっきり書いています。
そのうえで、すぐに更新できない場合に、決まった攻撃の道筋をふさぐ設定を挙げています。
どれも「危なさを減らす」もので、入れても安全になるわけではありません。

設定を入れる場所にも条件があります。
メモリの上限は、サイトのプログラムから書き換えられない場所（FPMやApacheの設定）で決めることが求められています。
アップロードの記録を止める設定は、php.iniやサーバーの設定で入れる必要があり、プログラムの中での切り替えや、FPMの .user.ini では効かないと明記されています。

エラーの表示を隠す設定（display_errors など）では防げない、という点も公式に書かれています。
一時しのぎは、サーバーを自分で管理している人や保守の担当者が、更新までのつなぎとして使うものと考えてください。

対象の確かめ方・更新する人

ここからは当社の見立てです。
サイトの持ち主がまず知りたいのは「うちは対象か」「だれが直すのか」の2つだと思います。
WordPressはPHPで動く仕組みなので、WordPressで作ったサイトは対象です。
WordPressの管理画面なら「ツール」→「サイトヘルス」→「情報」の「サーバー」の欄で、PHPのバージョンを見られます。

だれが更新するかは、サイトをどこに置いているかで変わります。

共用のレンタルサーバーでは、PHPの本体はサーバー会社が更新します。
ただ、多くのサーバーでは、どのバージョン（8.1・8.2・8.3など）を使うかを利用者が管理画面で選びます。
古い系統を選んだままだと、その系統にサーバー会社がどこまで修正を入れるかは会社ごとに違います（各社の対応は、本記事では確かめていません）。

1. PHPのバージョンを確かめる：WordPressのサイトヘルスか、サーバーの管理画面で見る。分からなければ制作会社かサーバー会社に聞く
2. 更新が済んだかを確かめる：サーバー会社のお知らせを見るか、保守の担当者に「10月21日のPHPの修正は入っているか」と聞く
3. 8.2以前なら移る先を決める：8.2は年末で修正が止まる。8.3以上へ移す日を決める
4. 移したあとに画面を確かめる：問い合わせフォーム、ネットショップの注文、管理画面へのログインが動くかを見る

8.1以前のサイトと持ち主が決めること

いちばん困るのは、PHP 8.1以前のまま動いているサイトです。
開発チームからの修正は出ないため、取れる道は「修正を移した版を出している配布元やサーバー会社を使う」か「サポートの続く系統へ上げる」かのどちらかです。
公式も、配布元に問い合わせるか、サポート中のバージョンへ上げるよう書いています。

古いサイトがPHPを上げられないのは、多くの場合、古いテーマやプラグイン、独自に作り込んだ部分が新しいPHPで動かないからです。
この場合は、本番とは別の確かめ用の環境で新しいPHPを試し、動かない所を直すか入れ替える作業が要ります。
直す所が多いなら、作り直しのほうが早く安くつくこともあります。

OpenAIは、修正のあとも、必要に応じてすでに侵入されていないかを調べるよう案内しています。
アクセスの記録の見方やファイルの書き換えの確かめ方はサーバーによって違うので、管理している会社に頼むのが確実です。
今回の修正が公開される前に攻撃が始まっていたかどうかは、PHPの公式の案内には書かれておらず、未確認です。

保守を頼む先を選び直すときは、PHPやWordPressの更新が保守の範囲に入っているか、重大な修正のときにどれくらいの早さで動いてもらえるかを、契約の前に確かめておくと、今回のような場面で慌てずに済みます。

まとめ

AIが弱点を見つける速さが上がり、重大な更新の知らせはこれから増えると見込まれています。
INTERCREATE JAPANでは、古いサイトの作り直しや、公開後の更新を任せられる保守の体制づくりの相談も受けています。