PHPに重大な脆弱性、エックスサーバー利用者は何をすればいい？WordPressの確認方法と対策

2026年10月、WordPressなどの動作に使われるPHPに、重大な脆弱性が公表されました。自分のサイトへの影響や、必要な対応が気になっている方もいるでしょう。

エックスサーバーは10月22日6時45分、同社が提供するPHP 8.2～8.5について、対象となるすべてのサーバーへの修正パッチ適用が完了したと発表しました。 一方、古いPHPについては順次対応中とされています。エックスサーバー公式案内

まず確認したいのは、自分のWordPressが、どのPHPバージョンで動いているかです。この記事では、エックスサーバーのレンタルサーバー利用者を中心に、確認方法と古いバージョンだった場合の対応を説明します。

※情報確認日：2026年10月22日。PHPへの修正状況は、同日6時45分の公式発表を基準としています。

エックスサーバーの対応状況は？PHPのバージョンで確認

今回の公式発表による対応状況は、次のとおりです。

出典：エックスサーバー公式案内

ここで大切なのは、「PHP 8.2以上という数字なら安全」ではなく、エックスサーバーの修正完了の案内と、自分の利用環境を照合することです。他社サーバーや、VPSなどで自分が導入・管理しているPHPに、この発表をそのまま当てはめることはできません。

また、管理画面の再開と、利用者のサーバーへの修正適用は別の情報です。「管理画面にログインできた」というだけで、利用中のPHPの対応状況を判断しないようにしましょう。

WordPressのPHPバージョンを確認する方法

WordPressの管理画面から、次の順に開きます。

管理画面 → ツール → サイトヘルス → 情報 → サーバー → PHPバージョン

「PHPバージョン」に表示される「8.3.36」などの数字を確認してください。この確認方法は、WordPress公式でも案内されています。WordPress公式の確認手順

ここでは設定を変更する必要はありません。まず、現在使っているバージョンを確認して控えておきます。

複数のWordPressを運営している場合は、それぞれ確認してください。同じサーバー契約でも、すべてのサイトが同じPHPを使っているとは限りません。

制作会社や保守担当者に管理を任せている場合は、「利用中のPHPバージョンと、今回の脆弱性への修正適用状況を確認したい」と伝えるとよいでしょう。

今回、PHPで何が問題になったのか

PHPの開発チームは10月21日、認証なしで外部から不正なコードを実行されるおそれのある、2件の重大な脆弱性を公表しました。識別番号は「CVE-2026-109618」「CVE-2026-109619」です。

PHP公式が公開した修正版は、8.2.35、8.3.36、8.4.27、8.5.12です。PHP公式のセキュリティ告知

ただし、サーバー会社などが既存のPHPに修正を組み込む場合もあります。表示された番号が公式の修正版と一致しない場合は、番号だけで未修正と決めず、提供元の案内を確認してください。

WordPress本体の更新と、WordPressを動かすPHPの修正も別の作業です。WordPressやプラグインを更新しただけで、サーバー側のPHPまで修正されたとは限りません。

古いPHPだった場合は、どう対応すればいい？

PHP 7.4や8.1などを使っていた場合は、修正の適用状況を確認しながら、サポート対象のPHPへの移行を進めます。

1．今回の修正が適用されているか確認する

まず、エックスサーバーの最新案内を確認します。自分の環境が対応済みか判断できない場合は、サポートに問い合わせましょう。

問い合わせでは、サーバーID、対象ドメイン、確認したPHPバージョンとともに、次の点を伝えると状況を確認しやすくなります。

• 今回公表された2件の脆弱性への修正は適用済みか
• 未適用の場合、対応予定と当面の対策はどうなるか
• 利用中のサイトを、どのPHPバージョンへ移行できるか

古いPHPにも提供元による修正が入る場合があります。ただし、今回の修正が済んでも、今後の保守を考えた移行準備は必要です。

2．サイトのファイルとデータベースをバックアップする

PHPを切り替える前に、サイトを復元できる状態を用意します。

WordPressのバックアップには、ファイルとデータベースの両方が必要です。画像やテーマなどのファイルだけを保存しても、通常は記事本文や各種設定が入ったデータベースまで保存できているわけではありません。WordPress公式のバックアップ解説

自動バックアップを利用している場合も、保存日時と対象を確認し、復元方法を把握しておきましょう。

3．WordPress・テーマ・プラグインの対応を確認する

古いテーマやプラグインは、新しいPHPで正常に動かないことがあります。

WordPress本体、テーマ、プラグインの更新状況と、移行先のPHPへの対応を確認します。独自に追加したプログラムがある場合は、その確認も必要です。可能なら、本番サイトを複製したテスト環境で先に動作を確かめます。WordPress公式の更新前の準備

選ぶ基準は、今回の修正が適用され、保守が続いており、自分のサイトが正常に動くバージョンであることです。

4．サーバーパネルで変更し、動作を確認する

エックスサーバーでは、サーバーパネルの「PHP Ver.切替」から対象ドメインのPHPバージョンを変更できます。画面の操作は公式マニュアルを確認してください。エックスサーバー公式マニュアル

同じドメイン配下に複数のサイトやプログラムがある場合は、変更が及ぶ範囲も事前に確認しておきましょう。

切り替え後は、少なくとも次の点を確認します。

• トップページや記事ページが正常に表示される
• 管理画面へのログインや記事の編集ができる
• 問い合わせフォームを送信でき、通知メールも届く
• 購入・予約・会員登録など、サイトの主要機能が動く
• サイトヘルスに、変更後のPHPバージョンが表示される

トップページの見た目だけで判断せず、訪問者が使う機能まで確認することが大切です。

すぐに更新できない場合、メンテナンス表示だけでよい？

今回の修正が未適用で、すぐに更新もできない場合は、サーバー会社や保守担当者へ早急に相談してください。 PHPの処理が始まる前に働くアクセス制限や、一時停止を含めた対応を検討します。

WordPressのメンテナンス用プラグインで「メンテナンス中」と表示するだけでは、今回の対策として十分とはいえません。PHP公式は、構成によってはアプリケーションのコードが実行される前に攻撃が成立する例を示しています。PHP公式の脆弱性詳細

PHPの変更で不具合が出た場合も、未修正の古い環境に戻して公開を続ける判断は避け、修正済みのバージョンへの変更や、原因となるテーマ・プラグインの対応を相談しましょう。

PHP 8.2を使っている人は、今後の移行準備も

今回、エックスサーバーのPHP 8.2は修正完了の対象に含まれています。一方、PHP公式による8.2のセキュリティサポートは、2026年12月31日に終了する予定です。PHP公式のサポート期間

これは、エックスサーバーが同日にPHP 8.2の提供を終了するという意味ではありません。ただ、引き続きサイトを運営するうえでは、テーマやプラグインの対応を確認し、保守が続くバージョンへの移行を準備しておく必要があります。

今回の確認を機に、運営するサイトごとのPHPバージョンと確認日を記録しておくと、次の更新時にも役立ちます。

ライフ・社会

2026/10/22

PHPに重大な脆弱性、エックスサーバー利用者は何をすればいい？WordPressの確認方法と対策

エックスサーバーでWordPressを運営している方へ。PHPの重大な脆弱性に対する公式の対応状況と、自分のサイトのPHPバージョンを確認する手順、古いバージョンだった場合の対策をまとめました。

ライフ・社会

2026/10/19

開運団地の浸水はなぜ起きた？盛土・水路・太陽光施設を検証

開運団地の浸水と盛土・水路の経緯を、公表資料から検証。太陽光施設の雨水集中の問題と、個別災害で確認できる因果関係を分け、熱海・姫路・群馬の事例と比較します。

ライフ・社会

2026/10/16

スーパーエルニーニョの日本への影響は？2026〜2027年の冬・雪の見通し

今冬の見通しを読むには、暖冬という言葉だけでなく、地域と予報の対象期間を見ることが大切です。2026年12月〜2027年2月の気温や雪の予報を比較し、冬全体の傾向と短期間の寒波・大雪の違い、予定が近づいたときの確認先をまとめました。

ライフ・社会

2026/10/12

日本人のノーベル賞受賞者一覧【2026年】歴代の人数・功績をわかりやすく解説

2026年の硤合憲三氏まで、日本国籍で受賞した28人と外国籍の日本出身者4人、日本被団協1団体を一覧に。全員の功績と、資料によって人数が異なる理由を解説します。

ライフ・社会

2026/10/11

硤合憲三とは？ノーベル化学賞の受賞理由と「硤合反応」をやさしく解説

2026年ノーベル化学賞の受賞が決まった硤合憲三さん。プロフィールと研究の歩み、分子の小さな左右の偏りを大きくする「硤合反応」の仕組みを、生命の謎との関係からやさしく解説します。