2026年10月20日（協定世界時）、PHPの開発チームが「緊急（Critical）」レベルの脆弱性2件を修正するセキュリティアップデートを事前告知しました。修正版の公開は日本時間10月21日（水）23時の予定です。
WordPressはPHPで動いています。つまり、ほぼすべてのWordPressサイトが対象になり得る話です。本記事では、現時点で判明していること、WordPressサイトの管理者が今すぐやるべきことをまとめます。
何が起きているのか
PHPのセキュリティチームは10月20日、公式サイトで「Upcoming Critical PHP Security Release（重大なセキュリティリリースの事前告知）」を公開しました。要点は以下のとおりです。
- 修正されるのは2件の緊急脆弱性。いずれもCVSS v4.0で9.2（10点満点、9.0以上が「Critical」）
- 公開予定は2026年10月21日 14:00 UTC（日本時間23:00）
- 脆弱性の詳細、影響を受けるバージョン、修正版のバージョンは公開と同時に発表される
- 脆弱性の詳細が外部に漏れた場合や、実際の悪用が確認された場合は予定より早く公開する可能性がある
- すべてのPHPユーザーに対し、公開後すぐにアップデートできるよう準備しておくよう呼びかけ
PHP公式が事前告知を出すのは異例です。それだけ深刻な内容だと受け止めるべきでしょう。
現時点で分かっていること
公式からは技術的な詳細は出ていませんが、セキュリティ企業や各国のCERTからいくつかの情報が出ています。
CVE番号と脆弱性の種類
EUの機関向けセキュリティ組織CERT-EUは、2件の脆弱性にCVE-2026-109618とCVE-2026-109619の識別番号が割り当てられていると公表しました。CVSSの評価値から、認証なしでのリモートコード実行（RCE）につながる可能性があると見ています。
セキュリティ企業のwatchTowrも「脆弱性は実在する」とX（旧Twitter）で確認し、2件ともRCEであること、うちCVE-2026-109618については自社で再現に成功したことを明らかにしています。ただし、パッチが出るまで技術的な情報は公開しないとしています。
リモートコード実行とは、攻撃者がインターネット経由でサーバー上に任意のプログラムを実行させられる状態のことです。サイトの改ざん、マルウェア設置、データベースからの情報窃取、他サイトへの攻撃の踏み台化など、最も被害が大きくなるタイプの脆弱性です。
影響を受けるバージョン
公式発表待ちですが、CERT-EUは外部情報を基にPHP 5以降のすべてのバージョンが影響を受ける懸念があるとしています。Eコマース向けセキュリティ企業のSansecも、PHP 5.4以降のすべてのサーバーが対象になると分析しています。
ここで重要なのが、PHPの公式サポートは8.2以降のみという点です。PHP 8.1以前の古いバージョンで動いているサーバーには、公式の修正版が提供されない可能性が高いです。この場合はホスティング会社による独自の修正（バックポート）を待つか、サポート対象のバージョンに移行するしかありません。
攻撃の見通し
Sansecは、修正版が公開されると攻撃者がパッチの差分を解析して攻撃コードを作るため、公開から15分以内に大規模な攻撃が始まると予測しています。すでに「PHP2Shell」と名付けられた攻撃ツールのスクリーンショットが出回っているとの情報もあり、公開後は時間との勝負になります。
修正版バージョン
（10月21日23時の公開後に更新します）
WordPressサイトの管理者が今すぐやるべきこと
修正版の公開前にできる準備と、公開後の対応を分けて整理します。
【今すぐ】自分のサイトのPHPバージョンを確認する
WordPressの管理画面から「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、現在のPHPバージョンが確認できます。レンタルサーバーの管理パネルでも確認できます。
確認のポイントは2つです。
- PHP 8.2以降か：8.1以前なら、公式修正が出ない可能性があるため、この機会にバージョンアップを検討してください
- PHPの更新を誰がやるか：レンタルサーバーなら多くの場合はサーバー会社が対応します。VPSやAWSなど自分で管理しているサーバーなら、自分で更新する必要があります
【今すぐ】レンタルサーバー会社の告知を確認する
共用レンタルサーバーでは、PHPの本体はサーバー会社が管理しています。各社が対応方針を告知するはずなので、お使いのサーバー会社の「お知らせ」ページを確認してください。利用者側でPHPバージョンを切り替えられるサーバーの場合、修正版への切り替えは利用者が行う必要があるケースもあります。
【今すぐ】バックアップを取る
万一攻撃を受けた場合に備えて、今の時点のバックアップを取っておいてください。改ざん後のバックアップでは復旧に使えません。
【公開後】できるだけ早く修正版を適用する
日本時間23時の公開後、修正版のバージョンを確認し、速やかに適用してください。自分でサーバーを管理している場合は、深夜でも対応できる体制を整えておくことをおすすめします。
【すぐ適用できない場合】外部からの切り離しを検討する
CERT-EUは、すぐに修正を適用できない組織に対し、修正が終わるまでインターネットに公開しているアプリケーションを外部ネットワークから切り離すことも検討するよう求めています。会員制サイトや社内システムなど、一時停止が許容されるサイトでは選択肢の一つです。WAF（Webアプリケーションファイアウォール）を導入している場合は、WAFベンダーの対応状況も確認してください。
補足：CVSS「9.2」と「10」の違いについて
一部のSNS投稿や報道では「CVSS 10」と伝えられていますが、PHP公式が公表している評価はCVSS v4.0で9.2です。情報が錯綜しているため、公式発表を一次情報として確認することをおすすめします。
まとめ
- PHPに緊急レベルの脆弱性2件（CVE-2026-109618／CVE-2026-109619）。リモートコード実行の恐れ
- 修正版の公開は日本時間10月21日（水）23時。公開後すぐに攻撃が始まる見込み
- WordPressサイトはほぼすべてが対象になり得る
- 今すぐ：PHPバージョン確認、サーバー会社の告知確認、バックアップ
- 公開後：できるだけ早く修正版を適用
本記事は10月21日時点の情報を基にしています。修正版の公開後、内容を更新します。
参考情報
- PHP公式告知「Upcoming Critical PHP Security Release」（英語）
- CERT-EU Security Advisory 2026-018「Critical Vulnerabilities in PHP」（英語）
- watchTowr「PHP Remote Code Execution FAQ: CVE-2026-109618 & CVE-2026-109619」（英語）
- Sansec「Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619」（英語）
- ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け」
