PHPに重大な穴。WordPressは大丈夫？

PHPのセキュリティーチームが、重大な脆弱性2件を直す更新版を、10月21日23時、日本時間で公開する予定と発表しました。確認を急ぐニュースですが、すべてのサイトが侵入された、という発表ではありません。WordPressが終わったわけでもありません。

30 sec

30秒でわかる、この速報

いつ: 2026年10月21日14:00 UTC、日本時間23:00に修正版の公開を予定
だれが: PHPのセキュリティーチームが予告
なにを: 重大な脆弱性2件を修正し、それぞれの評価はCVSS v4.0で9.2
どこに関係する: PHPを使うWebサイトや製品。個別の影響範囲は正式情報で確認
お金の話: PHPの更新ソフト自体に購入代金は不要。ただし、保守作業や契約変更には費用が生じる場合あり
なにをする: PHPの使用場所と更新担当を確認し、修正版の提供後に適用と動作を確かめる

Points

おさえるところ

PHP公式の10月20日付の予告には「It addresses two critical vulnerabilities, both rated CVSS v4.0 9.2.」とある。2026年10月21日14:00 UTC、日本時間23:00に修正版の公開を予定している
詳しい内容、影響する版、修正済みの版は、リリースと一緒に公開すると説明されている。23時は予定で、詳細の公開や実際の悪用の証拠を確認した場合、前倒しもあり得るとしている
CVSSのv4.0では9.0〜10.0がCritical、重大に当たる。9.2は「92％のサイトが被害に遭う」という意味ではなく、成功率や被害件数を表した数字でもない
拡散しているCVE-2026-109618とCVE-2026-109619という番号は、確認したPHP公式の予告には記載がない。正式な番号と修正内容の対応関係は、公開される勧告で照合する
英国の国家サイバーセキュリティーセンター、NCSCも、PHPを使う組織に更新準備を呼びかけている。すぐに対処できない場合は、対策できるまでシステムをオフラインにすることも検討する、という内容
PHPはWebサイトの裏側で動く厨房にあたる。WordPress本体の更新と、サーバー側のPHPの更新は別の作業。WordPress公式の要件ページはPHP 8.3以上を推奨しているが、今回の修正済み版を指定したものではない
PHP公式のサポート表では、確認時点のサポート対象は8.2、8.3、8.4、8.5。8.2のセキュリティーサポート期限は2026年12月31日。この一覧は、今回影響する版の一覧とは別
PHPの更新ソフトそのものを、新しい有料商品として購入する話ではない。費用が生じるとすれば、保守契約に含まれない作業、移行、互換性の修正など。レンタルサーバーでは、提供会社の通常の保守に含まれる場合がある
国内では、コドモンの初報がPHPへの脆弱性報告の予定に触れ、全サービスの停止を案内した。更新後の公式本文は、本件による不正アクセスや情報漏えいは確認されていないとしている。pixiv、グラブル、ウマ娘との関係は、個別の公式本文まで確認できていない
やることは3つ。PHPを使っている場所と担当を確認する、正式な修正案内と更新予定を照合する、適用した事実と動作を確認する。WordPressの管理画面では「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPの情報を確認できる