何が起きたか
ホームページで広く使われている PHP という仕組みに、重大な脆弱性が 2 件見つかりました（CVE-2026-109618 / CVE-2026-109619）。 深刻度は CVSS 9.2 と評価され、ログインしていない外部の人からサーバー上で命令を実行される恐れがあるものです。 日本時間の 10 月 21 日 23 時ごろに、修正版が公開されました。
WordPress は PHP で動いているため、WordPress で作られたホームページは確認が必要です。
修正版
- PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降
- サポートが終わっている 7.4 / 8.0 / 8.1 についても、PHP の開発元が最小限の修正の方法を案内しています。サーバー会社が独自に修正を取り込んでいる場合もあります。
- 8.2 は 2026 年末でサポートが終わる予定です。いま更新するなら、8.3 以降をおすすめします。
確認すること（3 つ）
- サーバーの PHP の版。レンタルサーバーの管理画面の「PHP バージョン設定」などで確認できます。 大手のレンタルサーバーでは、サーバー会社が修正を順次適用していることがあります。ご利用のサーバー会社のお知らせもご確認ください。
- WordPress 本体・テーマ・プラグインの更新。PHP の修正とは別に、こちらはサイトの管理者側で行う必要があります。 WordPress の管理画面の「更新」で確認できます。
- バックアップ。更新の前に、元に戻せるバックアップがあるかを確かめてください。
制作会社に依頼するときの伝え方
「CVE-2026-109618 / 109619 への対応状況と、WordPress 本体・プラグインの更新状況を教えてください」と伝えれば通じます。
大切なこと
この脆弱性への一次対応は、PHP の更新です。ホームページを作り替えなければ危険、ということはありません。 また、修正を当てることと、「すでに侵入されていないか」を確かめることは別の作業です。
ご自身での確認が難しい場合は、公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。