WordPressサイトのPHP脆弱性（php2shell）対応：PHPバージョンの確認と更新手順

ご自身が所有・管理しているサイトだけを確認してください。 このページとチェッカーは、入力されたバージョン番号を比べるだけです。サーバーへアクセスして調べることはしません。

結論

今回の脆弱性は WordPress 本体ではなく PHP（WordPressを動かしているプログラム） の問題です。WordPress・テーマ・プラグインを最新にしても直りません。対処するには、サーバーのPHPを修正版へ更新します。

1. WordPress管理画面の「ツール」＞「サイトヘルス」＞「情報」でPHPのバージョンを見る
2. チェッカーに入力して、修正版かどうか確認する
3. 修正版でなければ、サーバーの管理画面でPHPバージョンを更新する（8.1以前から上げる場合は、先にバックアップを取り、テーマ・プラグインの対応を確認する）

WordPressではなくPHPの問題です

PHP開発チームは、CVE-2026-109618 と CVE-2026-109619 の2件を、認証なしでリモートからコードを実行されるおそれがある重大な脆弱性として公表しました。どちらも深刻度（CVSS v4.0）は 9.2 です。簡単に言うと、ログインしていない第三者に、サーバー上でプログラムを実行されるおそれがあるという問題です。

PHP開発チームの告知によると、影響を受けるのは、Webからのリクエストを処理しているすべてのPHP環境です（php.netの公式告知）。WordPressもPHPで動くため、WordPressサイトの運営者も確認が必要です。

• WordPressの自動更新では、この修正は適用されません（Wordfenceの注意喚起）。PHPの更新は、ホスティング会社か自分のサーバーで行います。
• 同じ告知は、完全な緩和策はなく、更新が唯一の対処だと述べています。設定変更などの暫定策は、リスクを一部減らすだけです。
• 非公式の「修正プラグイン」は使わないでください。Patchstackも同様に注意しています（Patchstackの警告）。対処はPHP自体の更新です。

ステップ1：サイトヘルスでPHPバージョンを確認する

管理画面から「ツール」＞「サイトヘルス」を開き、「情報」タブの「サーバー」を開くと、PHPのバージョンが載っています（WordPress公式ガイドの手順。英語表示では Tools > Site Health > Info > Server > PHP version）。

メニューに「サイトヘルス」が見当たらない場合は、サーバーの管理画面にあるPHPバージョンの表示を見るか、ホスティング会社に確認してください。

表示された番号を、次の表と見比べます。

出典：php.net 告知、ChangeLog、サポート期間、サポート終了版。一覧は修正済みバージョン表にもあります。

注意：番号が古くても修正済みの場合があります。 配布元が修正だけを取り込む（バックポート）ため、番号が変わらないことがあるからです。たとえば cPanel（EasyApache 4）は、サポート終了のPHP 8.1向けにバックポートした修正入りのパッケージ（ea-php81）を公開しており、cPanelのパッケージ定義（specファイル）の変更履歴では 8.1.34-5 と記載されています（cPanel リリースノート）。レンタルサーバーでは、修正を適用しても番号を変えない会社があります（たとえば mixhost は、適用後も 8.4.26 のままと案内しています）。レンタルサーバーやLinuxのパッケージでは、php.netの番号ではなく提供元が示す修正版や会社の完了発表と比べてください。判断がつかないときは、下のホスティング各社の案内を確認するか、ホスティング会社に問い合わせてください。

ステップ2：ホスティング会社の案内を確認する

レンタルサーバーでは、同じ系統（たとえば8.3系）の修正はホスティング会社が適用するのが一般的です。当サイトが記録している各社の案内は、次のとおりです（2026年10月22日時点）。状況は変わるので、最新は各社のページとホスティング状況で確認してください。

「記載なし」は、対応されていないという意味ではなく、告知に書かれていないという意味です。会社が修正を適用したと発表していても、番号は変わらない場合があります。ご自身のPHPバージョンはステップ1で確かめたうえで、各社の完了の発表と合わせて判断してください。古い系統（8.1以前）を使っている場合は、会社が自社の修正を適用したと明記していればそれが当面の対応になりますが、PHP公式のサポートは終わっているため、ステップ3へ進んで8.3以上への移行も計画してください。

ステップ3：PHPバージョンを更新する

同じ系統で修正版になる場合（例：8.3.35 → 8.3.36）

ホスティング会社が更新を適用するケースです。管理画面にPHPの更新操作がなければ、会社の完了発表を待ち、ステップ1をやり直します。番号が上がっていればそれで確認できます。番号が変わらない会社では、完了の発表で確認してください。

古い系統から上げる場合（例：7.4・8.0・8.1 → 8.3以上）

メジャーバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。先に次の準備をしてください（WordPress公式ガイドの注意点に沿っています）。

1. バックアップを取る。 サイトのファイル全体とデータベースの両方です。
2. WordPress本体・テーマ・プラグインを最新にする。 「ダッシュボード」＞「更新」から実行し、サイトが普通に表示されることを確認します。
3. 互換性を確認する。 使っているテーマ・プラグインが、移行先のPHPに対応しているか、各提供元のページで確認します。更新が止まっているプラグインは、代わりを探すか、開発元に問い合わせます。
4. アクセスの少ない時間帯に作業する。

移行先は 8.3以上 が目安です。php.netの表では、セキュリティ修正の提供期限は8.2が2026年12月31日、8.3が2027年12月31日です（対応バージョン一覧）。お使いのWordPress本体・テーマ・プラグインが対応するPHPの範囲は、各提供元のページで確認してください。

バックアップが済んだら、サーバーの管理画面でPHPバージョンを切り替えます。操作の場所や手順は会社ごとに違い、画面名も変わることがあります。本サイトでは手順そのものは確認していないため、各社の公式マニュアルに従ってください（例：さくらのレンタルサーバ）。

ステップ4：更新後に確認する

1. サイトヘルスで、PHPバージョンが想定どおりに変わったことを確認する
2. トップページ、記事、固定ページ、問い合わせフォーム、ログイン、管理画面を一通り開く（通販・会員サイトは、購入や会員ページも）
3. 表示されたバージョンをチェッカーに入れ、修正版になっているか確かめる

「重大なエラー」が出たら

白い画面や「このサイトで重大なエラーが発生しました」と出たら、まず管理画面でPHPバージョンを元のバージョンに戻します。元に戻せるかどうかは、各社のマニュアルで確認してください。それでも直らなければ、ステップ3の前に取ったバックアップから復元します。

ただし、元のPHPには脆弱性が残っています。 戻すのは原因を調べる間だけの一時的な措置にして、原因のプラグインやテーマを更新・置き換えたら、すぐにPHPを上げ直してください。どうしても上げられない古い系統は、ホスティング会社に、修正を取り込んだ提供があるか確認します（Patchstackも、8.1以前は提供元のバックポートか対応バージョンへの移行を勧めています）。

自分でサーバーを管理している場合（VPS・専用サーバー）

OSのパッケージ更新でPHPを上げ、PHP-FPMやApacheを再起動し、サイトヘルスで反映を確かめます。Ubuntuなど、番号が古いまま修正が入るディストリビューションがあるため、Ubuntu・Debianのガイドの手順と表で、パッケージの修正版番号を確認してください。サーバーのコマンドで見るPHP（CLI）は、WordPressが実際に使うPHPと違う場合があるので、最終確認はサイトヘルスで行います。

補足：CloudflareやSucuriのWAFは追加の守り

CloudflareやSucuriは、この件向けのWAF（Webアプリケーションファイアウォール）ルールを出しています。どちらもPHPの更新は別に必要としています（Cloudflare、Sucuri）。Cloudflareを経由せずサーバーに届く通信は守れない点にも注意が必要です（Patchstack）。更新までのつなぎとして考えてください。

自分で進めるのが不安な方へ

手順に自信が持てない場合は、49ドルの個人向けパッチ対応プランがあります。ご利用環境に合わせた手順を24時間以内にメールでお届けします（サーバーへのログインや作業代行はしません）。詳しくはこちらをご覧ください。

当サイトはPHP Groupおよびphp.netとは関係のない独立サイトです。