PHP騒ぎの夜 引っ越し済みのブログに 思わぬ落とし穴！？

ニュースで「PHPの脆弱性（ぜいじゃくせい）」という言葉を見て、ドキッとしたことはありませんか？

脆弱性とはプログラムの弱点のことです。PHP（ピーエイチピー）はウェブサイトの裏でページを組み立てる部品です。WordPress（ワードプレス）もこの部品の上で動いています。2026年10月21日にこの部品の重大な弱点が公表され、有名なサービスが次々に緊急メンテナンスに入りました。

先に答えを書きます。WordPressを使い続けている方は、サーバーのPHPの版が古ければ新しくする必要があります。WordPressを最新にしてもこの弱点は直りません。

私のブログは1か月ほど前にWordPressをやめていたので、他人事のつもりでした。ところが調べると引っ越し前の古いサーバーを外から閉じ忘れていました。

こんな方におすすめ

• WordPressでブログやサイトを運営している方
• 昔作ったサイトをそのまま放置している方
• ブログを引っ越したあとも古い環境を残したままの方

全体像

この記事の流れです。

PHPの脆弱性は何が問題だったのか

PHPに、ログインなしで外からサーバーの中のプログラムを動かされてしまう弱点が2件見つかった騒ぎです。

2件の番号は「CVE-2026-109618」と「CVE-2026-109619」です。通称はPHP2Shell（ピーエイチピーツーシェル）と呼ばれています。CVEは世界共通の弱点の管理番号です。深刻さの点数は10点満点で2件とも9.2点でした。

サイトを見に来た人と同じ形で特別なデータを送るだけで、ログインなしにサーバーの中のプログラムを動かせるとされています。セキュリティ会社のWizが確かめました。よく使われるサイト作成ソフトのWordPress・Drupal・Joomlaの最新版で、この攻撃が成功しました。

対象は広範囲です。過去10年に出たPHPの版は、どれも2件のうち少なくとも1件の影響を受けるとされています。影響を受ける最も古い版は5.4です。弱点はPHP本体にあるので、WordPressのプログラムが正しくても影響を受けます。

修正版は2026年10月21日の夜に公開されました。PHP 8.5・8.4・8.3・8.2の系列ごとに、8.5.12・8.4.27・8.3.36・8.2.35です。8.1以前の版はPHPの公式の保守がすでに終わっていて、直るかどうかはサーバー会社の対応しだいです。

日本でも大きな騒ぎになりました。首相がXでその夜のうちの対応を呼びかけ、国家サイバー統括室も注意喚起を出しました。ニコニコ・pixiv・BASEなどが対応のために緊急メンテナンスに入っています（GIGAZINEの2026年10月21日の記事）。

攻撃の試みは、修正版の公開より前からあったと報じられています。Amazonのセキュリティ部門が自社のおとりのサーバーで攻撃の試みを記録したのは、公開の4日前の10月17日です（Help Net Securityの2026年10月21日の記事）。

引っ越し済みの新しいブログはPHPが関係なかった

新しいブログは完成したページを先に作って置いておく作り方なので、表示する時にPHPが動きません。

WordPressは、見に来る人がいるたびにPHPがページを組み立てる作り方です。注文を受けてからパンを焼くお店のようなものです。今のブログはパソコンの上で全部のページを先に焼いておき、できあがったページを渡すだけのお店です。

ページを焼く道具はAstro（アストロ）で、渡す役はCloudflare Pages（クラウドフレア ペイジズ）です。私が置いている物の中にPHPで動く物はありません。

2026年10月24日に、公開用のフォルダの中を全部探しました。PHPのファイルは0個でした。表示の前に動く小さな処理が1つありますが、JavaScript（ジャバスクリプト）という別の言葉で書かれています。ただしPHPが関係ないと言えるのは、ブログを表示する道筋だけの話です。

古いサーバーが開いたままだった

引っ越しは9月26日に終わっていました。ただPHPが動いていたのは引っ越し前の古いサーバーで、そこは外から届く状態のままでした。

PHPの騒ぎの翌日の10月22日に、AIへブログと占いサイトのPHPの脆弱性を調べてもらいました。どちらのファイルにもPHPは見つかりませんでした。

PHPが動いていたのは、引っ越し前の古いWordPressのサーバーだけでした。古いサーバーが外から届く状態だと分かったのは、この調査がきっかけでした。

古いサーバーを残していたのは、引っ越しで困った時に戻れるようにするためです。残したこと自体は計画どおりでした。しくじりは、外から届かないようにする作業を予定に入れていなかったことです。

古いサーバーが外から届く状態だった期間には、攻撃の試みが記録された10月17日も入っていました。この記録はAmazonのおとりのサーバーでのもので、私のサーバーが狙われた証拠ではありません。10月22日に外から届かないようにして、入口のどこを開いても拒否の応答が返ることまで確かめています。

古いサーバーに外から届いていた通信

10月17日から22日までの6日間で記録に残っていた外からの通信は十数回だけで、PHPを狙う通信はありませんでした。

2026年10月23日に古いサーバーのアクセス記録を数えました。サーバー自身の定期確認と、私とAIの遮断作業の確認を除いた通信です。中身はトップページ・検索ロボット向けの案内（robots.txt）・タブの小さな絵（favicon）を見る通信だけでした。

PHPを狙う通信とは、PHPのファイルを名指しした通信・データを送り込む通信・怪しい指定を付けた通信のことです。そのどれも1件もありませんでした。

ただしこの記録に残るのは、ドメイン名（私のブログの名前にあたるアドレス）で届いた通信だけです。サーバーの数字の住所を直接指定して来た通信は、この記録に残りません。記録で見える範囲に危ない通信が無かったのは、運が良かっただけです。開いていたこと自体がしくじりであることは変わりません。

数えたのはAIで、AIは書けることと書けないことを分けて答えました。題名はそのAIのおすすめを聞いて私が決めました。

WordPressを使い続ける方がやること

サーバーのPHPの版を確かめて、修正版より古ければサーバー側で更新するのが先です。攻撃の試みはすでに報告されているので、早めに動きます。

1. WordPressの管理画面で「ツール」の「サイトヘルス」を開き、「情報」の「サーバー」でPHPの版を見ます。サーバー会社の管理画面にも、同じ版が出ていることが多いです。
2. 版を修正版と比べます。修正版は8.5.12・8.4.27・8.3.36・8.2.35です。自分の系列の番号以上ならこの弱点は直っています。サーバー会社が自動で直す場合もあるので、お知らせも読みます。
3. 8.1以前だった場合は、サーバー会社に対応を確かめます。一般の利用者向けの公式の修正は出ないので、新しい系列へ上げる必要が出ることがあります。すぐ直せない時は、サイトを一時的に止める方法もあります。
4. 更新の前にサイトのバックアップを取ります。古いプラグインやテーマは、新しいPHPで動かなくなることがあります。
5. 更新したらサイトの表示とログインを確かめます。

昔作って放置しているサイトも同じです。使っていないなら更新するより閉じるほうが安全です。これは私の閉じ忘れと同じ話です。

ニュースで騒ぎになると、便乗した偽の案内メールが出回ることがあります。「PHPの更新が必要です」というメールのリンクは開かずに、サーバー会社の管理画面を自分で開いて確かめます。

WordPressをやめるべきという話ではありません。PHPを新しくすればこの弱点には対処できます。

デメリット・注意点

• 新しいブログに「PHPが関係ない」と書いたのは、ブログを表示する道筋だけの話です。ほかの部品の弱点とは別の話です。
• アクセス記録は6日分で、ドメイン名で届いた通信だけです。数え直しはできません。
• PHPを新しくすると、古いプラグインやテーマが動かなくなることがあります。バックアップを先に取ります。
• 国内の呼びかけや各社の対応は、2026年10月24日までの報道です。修正版の番号や状況は今後変わることがあります。

最後に

まずは今日、自分のサイトのPHPの版を確かめてみてください。

私は新しい家の戸締まりに安心して、古い家の玄関を26日間開けっぱなしにしていました。引っ越しは古い家の鍵を閉めるところまでが引っ越しです。

PHPの公式サイトに、今サポートされている版の一覧があります。PHP: Supported Versions