2026年10月22日 21時台更新｜ブログ運営・セキュリティ
2026年10月21日、PHP本体に深刻度9.2（緊急）の脆弱性2件が公表され、その日の夜23時に修正版が出た。WordPress公式ブログは「サイト所有者はPHPをすぐに更新してほしい」と呼びかけている。
「PHP？WordPressが勝手にやるものでしょ」と思う気持ちは分かる。だが、その「土台」が揺れると、家ごと傾く。この記事は、PHPとは何か、何が問題なのか、分かった上で何が解決するのか、そしてかめきちブログのような個人サイトが今日やるべきことを、順番に整理したものだ。
- PHPはWordPressの土台。土台に穴が開くと、記事の巧拙とは関係なくサイト全体が危ない
- 今回の脆弱性は深刻度9.2。外からプログラムを実行される「php2shell」
- 対処は1分の確認＋サーバー側の更新でほぼ済む。慌てる必要はないが、見ないのは論外
PHPとは 土台の言語
PHPは、WordPressそのものを動かしているプログラミング言語だ。記事やプラグインは「家の内装や家具」、PHPは「基礎と骨組み」。家具は好みで入れ替えられるが、基礎にヒビが入れば家ごと危うい。
だからPHPのニュースは、ブログを書く人全員のニュースだ。WordPress公式も「この脆弱性はWordPress固有ではない。PHPアプリを動かすすべてのサーバーが対象」と明言している。逆に言えば、WordPress本体の更新では防げない。土台側を直すしかない。
何が問題なのか
問題は3つに整理できる。
① 今回の穴がでかい
通称「php2shell」と呼ばれる脆弱性（CVE-2026-109618／109619）は、細工された通信を送るだけでサーバー上で好きなプログラムを実行されかねない类型だ。深刻度はCVSSで9.2。10点満点に近い。
② 古いPHPは、もう直らない
PHP 8.1以前には修正版が出ない。サイトヘルスで8.1以下と出たなら、更新ではなく「引っ越し（バージョン切替）」が必要だ。
③ 「8.3なら安全」ではない
今回の修正版は最後の番号で区別される。「8.3」と表示されていても8.3.35なら未修正。8.3.36以上で初めて安全だ。
| お使いのPHP | 修正済みのバージョン |
|---|---|
| 8.5系 | 8.5.12 以上 |
| 8.4系 | 8.4.27 以上 |
| 8.3系 | 8.3.36 以上 |
| 8.2系 | 8.2.35 以上 |
| 8.1以前 | 修正版なし。8.2以上（推奨は8.3以上）へ切替 |
確認は1分 サイトヘルス
確認場所はWordPressの管理画面、「ツール」→「サイトヘルス」→「情報」→「サーバー」の「PHPバージョン」。ここに最後の番号まで表示される。レンタルサーバーの管理画面でも確認できることが多い。
多くのレンタルサーバーでは会社側が自動で更新してくれる。実際、大手サーバーでは脆弱性公表から数時間で修正版に上がった報告もある。つまり多くの人のやるべきことは「確認」だけ。上がっていなければ、サーバー会社の案内を待つか、管理画面でPHPバージョンを8.3か8.4に切り替える。
わかって何が解決するのか
「そんなことわかって、何が解決するのか」。率直に言おう。解決するのは3つだ。
第一に、やられる前に直せる。脆弱性は公表された瞬間から攻撃者のカタログに載る。知らなければ直しようがない。知っていれば、今日中に潰せる。
第二に、不安が「手順」に変わる。「何か恐ろしいものがある」という漠然とした怖さは、確認→更新→確認という3ステップに分解した瞬間にただの作業になる。
第三に、次も慌てない体ができる。今回のようなニュースは毎年来る。一度対処を経験すれば、次は通知を見て冷静に动ける。
PR
【まず理解から】WordPressの仕組みがわかる本
- Amazonで探す → WordPress 本
- 楽天で探す → WordPress 運営 本（楽天市場）
今後も続くことでしょ
続く。断言できる。PHPは毎年11月に新バージョンが出て、旧バージョンは順にサポート切れを迎える仕組みだからだ。そして WordPress も、7.0からPHP 7.4未満のサポートを打ち切った。要するに、この「土台の載せ替え」はブログを続ける限り、何度でも来る。
だから考え方を変えよう。「今度も面倒なことが来る」ではなく、「決まった手順が年に一度降ってくるだけ」である。掃除や車検と同じだ。
| PHPバージョン | サポート終了 |
|---|---|
| 8.2 | 2026年12月31日（あと2か月） |
| 8.3 | 2027年12月31日 |
| 8.4 | 2028年12月31日 |
| 8.5 | 2029年12月31日 |
| 8.6 | 2026年11月19日リリース予定 |
ひとつだけ注意。出たばかりの新しすぎるPHP（11月予定の8.6など）は、テーマやプラグインが追いつかず不具合の元になる。現時点の無難な選択は8.3か8.4だ。
かめきちブログで何が不安か
個人ブログにとって本当に怖いのは、脆弱性そのものより「サイトが真っ白になった朝」だと思う。アフィリエイトの収益が止まる。直す時間は現場と書く合間にしかない。原因が分からないまま、焦ってプラグインを消したりする——あれは現場で「どこから電気が来てるか分からないままブレーカーを全部下げる」のと同じで、二次被害を呼ぶ。
だから、これから起こり得ることに先回りして、今日できることをリストにしておく。以下の5つだ。
今日できること 5つ
- サイトヘルスでPHPバージョンを確認（8.3.36／8.4.27／8.2.35以上なら修正済み）
- バックアップを取る。更新の前後は必ず。外付けSSDやUSBメモリに「大昔のバックアップ」という置き忘れがないように
- 使っていないプラグイン・テーマを削除。停止中でも置いてあるだけで攻撃の入り口になる
- PHP 8.1以下なら8.3か8.4へ切替（テーマを最新化してから切替が鉄則）
- 電源環境もセキュリティ。停電や雷サージでデータは消える。UPSとサージ対策タップは電気屋の本領だ
PR
【データの命は2箇所に】バックアップ用品
- Amazonで探す → 外付けSSD
- 楽天で探す → USBメモリ（楽天市場）
PR
【電気屋が本気で選ぶ】電源の守り
- Amazonで探す → 無停電電源装置 UPS
- 楽天で探す → サージプロテクタ 電源タップ（楽天市場）
PR
【入り口を固める】ウイルス対策
- Amazonで探す → ウイルス対策ソフト
- 楽天で探す → セキュリティソフト（楽天市場）
まとめ 恐れるな、手順がある
PHPの話は堅苦しいが、やることは家の点検と同じだ。基礎にヒビが入ったら直す。保険（バックアップ）に入る。雨漏り（プラグインの穴）を塞ぐ。続けていれば、続けられる。
ブログは続けてこそ資産になる。今回のPHP騒動を、続けるための「年次点検」の合図にしてほしい。今日確認した1分が、明日の真っ白な画面を防ぐ。
北海道の冬は、雪で家の基礎も試す。だが点検された家は、いくら雪が降っても立っている。ブログも同じだ。
