PHPの脆弱性発覚！今すぐやるべきこととワードプレスの未来について

深刻度、10点満点中の9.2。

2026年10月21日に公表された、PHPの欠陥の深刻さを表す点数です。

つまり、超ヤバいということです。

10月21日の夜には、高市首相までXで「今夜に対応して頂きたい大至急のお願いです」と呼びかけました。

高市早苗首相のXの投稿（2026年10月21日午後9時55分）。PHPの重大な脆弱性について、今夜公開される修正パッチを速やかに適用できるよう準備をお願いします、と呼びかけている — 出典：高市早苗首相のXの投稿（2026年10月21日午後9時55分）

ニュースでも大きく流れたので、目にした方も多いと思います。

ぞろ屋にも、ホームページを作らせていただいたクライアント様から「うちのサイトは大丈夫ですか？」と、たくさんの連絡をいただきました。

この記事では、10月22日にクライアント様へお送りしたご案内をもとに、次の4つをまとめました。

今回、何が起きたのか
自分のホームページが大丈夫か、確かめる方法
エックスサーバーでPHPのバージョンを上げる手順
ChatGPTやClaudeに貼るだけで確認できるプロンプト

あわせて、これを受けたぞろ屋の今後の方針もお伝えします。

PHPの重大な欠陥（脆弱性）で、何が起きたのか

PHPの欠陥を家にたとえた図解。WordPressは家、PHPは家を支える設備。玄関の鍵はかかっていても、設備の穴から入られるおそれがある

そもそもPHPとは？ホームページの裏側で動くプログラム

PHP（ピー・エイチ・ピー）は、ホームページを動かすためのプログラムの言葉です。

ホームページには、いつ開いても同じ中身が出るページと、開くたびに中身をその場で組み立てるページがあります。

WordPressで作ったホームページは、後者です。ブログの一覧に新しい記事を並べる。お問い合わせフォームの内容をメールで送る。こうした仕事を、サーバーの中でPHPが受け持っています。

だから、WordPressのホームページは、PHPがないと表示できません。

調査会社のW3Techsによると、サーバー側で使われているプログラムの言葉が分かっているWebサイトのうち、69.3%がPHPを使っています（2026年10月22日時点）。

ちなみに、PHPという名前は、もともと「Personal Home Page（個人のホームページ）」の頭文字でした。1994年に、個人のホームページのために作られたツールが始まりです。今は「PHP: Hypertext Preprocessor」の略とされています。

WordPressは家、PHPはその家を支える設備

ざっくり言うと、ホームページを動かす仕組みに、泥棒が入り込めるかもしれない穴が見つかったという話です。

家に例えるなら、WordPressは家そのもので、PHPはその家を支える設備にあたります。

今回は、その設備のほうに穴が見つかりました。

いくら玄関の鍵をしっかりかけていても――つまりWordPress本体やプラグインを最新にしていても、設備のほうから侵入されるおそれがあるんです。

だから、WordPressの更新だけでは、今回の欠陥は直りません。

調査会社のW3Techsによると、世界のWebサイトの39.6%がWordPressです（2026年10月21日時点）。世界のサイトのおよそ4割が、今回の件と無関係ではないということです。

PHPの公式が発表した内容

日本時間の10月21日23時ごろ、PHPの公式サイトから詳しい情報と修正版が公開されました。分かった内容は次のとおりです。

ログインしていない第三者が、外からサーバーの上でプログラムを動かせてしまうおそれがある欠陥が2件
Webで動いているPHPは、基本的にすべて対象
修正版は、PHP 8.5.12／8.4.27／8.3.36／8.2.35
PHP 8.1以前（7.4など）には、正式な新しいバージョンが出ない（サーバー会社などが組み込むための、最小限の直しが公開されているだけ）

PHPの公式は設定を変える応急の手当ても載せていますが、「これで安全にはならない」と書いています。いちばん確実なのは、修正の入ったPHPで動かすことです。

日本のサーバー会社はどう動いたか

ここは少し安心してください。

レンタルサーバーなら、PHP本体の修正はサーバー会社が入れるものです。僕たち利用者がPHPを自分で入れ替えることは、基本的にできません。

エックスサーバーは、修正版が出る前の10月21日16時から管理画面などを止めて備えていました。10月22日6時45分のお知らせでは「PHP 8.2〜8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了しました」と発表しています。これより古いバージョンも、順に対応を進めているそうです。

管理画面は10月22日9時30分に再開しました（シンクラウドは13時15分の時点で再開）。

ロリポップやヘテムルも、10月21日から緊急メンテナンスを行っていました。

WordPress公式も、レンタルサーバーを使っているならサーバー会社の案内を確認し、必要ならPHPを更新するよう呼びかけています。サイトの一時停止を考えるのは、PHP 8.2より前を使っていて、自分でサーバーを管理しているケースです。

国家サイバー統括室も、修正の適用が難しい場合は、ウェブサイトを一時的に止めることも有効策としています。裏を返せば、修正が入ったサーバーで動いているなら、慌ててサイトを止める必要はありません。

自分のホームページが大丈夫か確かめる、4つの確認

やることは4つだけの図解。PHPで動いているか、サーバー会社はどこか、PHPのバージョンはいくつか、バックアップはあるか

やることは4つだけです。

① ホームページがPHPで動いているか

WordPressで作ったホームページなら、PHPで動いてます。

② サーバー会社はどこか

ホームページを置いているサーバー会社のお知らせや公式Xを見て、今回の案内を確かめてみてください。

③ PHPのバージョンはいくつか

WordPressの管理画面にログインし、左メニューの「ツール」→「サイトヘルス」→上の「情報」タブ→「サーバー」を開くだけ。「PHP バージョン」の行に数字が載っています。

エックスサーバーなら、サーバーパネルの「PHP Ver.切替」でも確認できます（手順は次の章で紹介します）。

④ バックアップがあるか

エックスサーバーなら、ファイルとデータベースが過去14日分自動で残っています（古いサーバーだと、ファイルは7日分のこともあります）。万が一のときに元の状態へ戻せるかで、打てる手も違ってきます。

PHPのバージョンの数字の見方

エックスサーバーを使っているなら、見方は簡単です。

「8.2」以上：エックスサーバー側で修正済みなので、今回は何も対応しなくて大丈夫です
「8.1」以前（7.4など）：新しいバージョン（8.3以上）へ切り替える必要があります

8.1以前は、いくらサーバー会社が手当てしてくれても公式の更新はもう受けられません。次に欠陥が見つかったときも同じことになるので、古いバージョンなら、この機会に8.3以上へ上げておくのが安全です。

実際、ご案内をお送りした当日にも、7.4のままだったサイトが見つかっています。

ちなみに、PHP 8.2も2026年12月31日でサポートが終わります。8.2を使っている方も、年内に8.3か8.4へ上げておくと安心です。

エックスサーバーでPHPのバージョンを上げる手順

切り替え自体は、管理画面から数分で終わります。

切り替える前に確かめること

バックアップがあるか（エックスサーバーの自動バックアップで足ります）
7.4など古いバージョンから上げるなら、ホームページを作った制作会社に一声かけること
ネットショップや会員ページなど特別な機能がある場合も、制作会社に相談してから進めること

いきなり最新の8.5にすると、古いテーマやプラグインが合わずに表示が崩れることもあります。上げる先は、8.3か8.4がおすすめです。

切り替えの手順

まずエックスサーバーのサーバーパネルにログインします。

左のメニューの「PHP」を開き、「PHP Ver.切替」を押します。

エックスサーバーのサーバーパネル。左メニューの「PHP」の中にある「PHP Ver.切替」を押す

「現在のバージョン」の列で、今のバージョンを確かめます。切り替えたいドメインの右にある「編集」のペンのアイコンを押すと、「変更後のバージョン」を選ぶ欄が出ます。

「変更後のバージョン」で「（推奨）」と付いたバージョンを選び、「設定する」を押せば完了です。10月22日にぞろ屋のサーバーで見たときは、「PHP8.3.36（推奨）」でした。今回の修正が入ったバージョンです。

PHP Ver.切替の画面。ドメインの右のペンのアイコンを押すと、変更後のバージョンを選ぶ欄と「設定する」ボタンが出る。推奨はPHP8.3.36

※画面は新しいデザインのサーバーパネルです。「旧デザインに切り替え」で古い画面にしている場合は、見た目が少し違います。

切り替えたあとに見るところ

少し時間を置いて、次をチェックしてみてください。

トップページ
よく見られるページ（サービスページ、ブログ記事など）
お問い合わせフォーム（テスト送信してメールが届くか）
WordPressの管理画面にログインできるか

表示がおかしくなったら

同じ「PHP Ver.切替」の画面で元のバージョンに戻せば、表示は元通りになります。PHPを切り替えても、記事や写真などのデータは消えません。

ただ、元に戻すと欠陥も残ったままです。戻したままにせず、その日のうちに制作会社に相談してください。

ChatGPT・Claudeに貼るだけ｜PHPの状態を確かめるプロンプト

「自分のサイトがどれに当てはまるのか、自分だけでは判断しにくい」という方のために、確認用のプロンプトを作りました。

ChatGPTやClaudeを開いて下の文章を貼り付け、「ここにURLを貼る」をご自身のホームページのアドレスに変えて送信してみてください。

順番に質問が返ってくるので、答えていくだけで、対応が必要かどうかや次にやることが分かります。

ひとつ先にお伝えしておくと、URLを入れただけでPHPのバージョンまで分かるわけではありません。

エックスサーバーのサイトは、外からPHPのバージョンが見えない設定になっているからです。

そのためこのプロンプトは、外から分かることを調べたうえで、PHPのバージョンだけをあなたに質問して確かめる流れにしています。

パスワードやログイン情報は、絶対に貼らないでください。

あなたは、ホームページの安全確認を手伝う相談役です。
2026年10月21日に公表された、PHP（ホームページを動かすプログラム）の重大な欠陥について、私のホームページが大丈夫かを、一緒に確認してください。
専門用語には短い説明をつけ、中学生にも分かる言葉で答えてください。

【私のホームページのURL】
ここにURLを貼る

【最初に、あなたが調べること】
Webを見られる場合は、次を開いて調べてください。開けなかったものは「確認できませんでした」と書いて、先へ進んでください。
1. 上のURLのページと、URLの末尾に「/feed/」を付けたページ。WordPressで作られているか、WordPressのバージョンが分かれば教えてください（フィードの generator の行に出ていることがあります）
2. PHP公式のお知らせ（https://www.php.net/archive/2026.php）で、最新の修正版と対象のバージョン
3. エックスサーバーのお知らせ（https://www.xserver.ne.jp/）で、PHPの修正がどこまで進んでいるか

【前提（2026年10月22日時点）】
・修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35。PHP 8.1以前（7.4など）には、PHP公式から正式な新しいバージョンは出ない（サーバー会社などが組み込むための最小限の直しが公開されているだけ）
・エックスサーバーは「PHP 8.2〜8.5は、すべてのサーバーで修正パッチの適用が完了」と発表（10月22日6時45分時点）。それより古いバージョンは、順に対応中
・サーバー会社が古いバージョンに手当てをしても、そのバージョンは今後もPHP公式の更新を受けられない。次に欠陥が見つかったときも同じことが起きるので、8.3以上に上げておくのが安全
・PHPのバージョンは、外から見ても分からないことが多い。必ず私に確かめてもらうこと
・WordPress本体やプラグインの更新では、今回の欠陥は直らない
・PHP 8.2は、2026年12月31日でサポートが終わる
この前提と、あなたが調べた最新の情報が食い違う場合は、最新の情報を使い、調べた結果を伝えるとき（質問の前）にそのことを教えてください。エックスサーバーのページが開けない場合は、この前提のまま進めてください。

【次に、私に聞くこと（1回に1つずつ）】
1. サーバー会社はどこか（エックスサーバーか、ほかの会社か、分からないか）
2. PHPのバージョン。次の調べ方も一緒に教えてください
　・WordPressの管理画面 →「ツール」→「サイトヘルス」→ 上の「情報」タブ →「サーバー」→「PHP バージョン」の行
　・エックスサーバーなら、サーバーパネル →「PHP Ver.切替」→ ドメインの右にあるペンのアイコン
　・どちらにもログインできない場合は、ホームページを作った制作会社に「PHPのバージョンだけ教えてください」と聞けばよいと伝える
3. ネットショップ（決済）や会員ページがあるか

【判定のしかた】
・エックスサーバーで「8.2」以上 →「安全側」。今回の件での対応は不要。ただし8.2なら、年内に8.3か8.4へ上げることをすすめる
・エックスサーバーで「8.1」以前（7.4など）→「要対応」。8.3への切り替えをすすめる。サーバー会社の手当てが入っても、上げておくべき理由（前提の3つ目）もあわせて伝える
・エックスサーバー以外 →「要確認」。そのサーバー会社のお知らせを確かめるよう案内する
・バージョンが分からない →「要確認」。調べ方を、別の言い方でもう一度案内する

【答え方】
次の形でまとめてください。
・判定：安全側／要対応／要確認
・理由：どの情報から判断したか。確かめられなかったことは「未確認」と書く
・今日やること：多くても3つ
・「要対応」のときは、切り替えの手順：
　① 念のため、バックアップがあることを確認する（エックスサーバーは、ファイルとデータベースを過去14日分、自動で保存しています）
　② サーバーパネル →「PHP Ver.切替」→ ドメインの右のペンのアイコン →「変更後のバージョン」で「8.3」を選び →「設定する」
　③ 少し時間をおいてから、トップページ、よく見られるページ、お問い合わせフォーム（テスト送信）、WordPressの管理画面へのログインを確認する
　④ 表示がおかしいときは、同じ画面で元のバージョンに戻せば元に戻ることを伝える。ただし、元に戻すと欠陥が残った状態に戻るので、戻したままにせず、その日のうちに制作会社に相談するよう案内する
　7.4など古いバージョンから上げる場合や、ネットショップ・会員ページがある場合は、切り替えの前に制作会社に一声かけるよう、あわせて伝える

【守ってほしいこと】
・パスワードやログイン情報は、聞かない・貼らせない
・サーバーの設定ファイル（php.ini など）を書き換える方法はすすめない
・サイトを止めることはすすめない（ご自身でサーバーを管理していて、PHP 8.2より前から上げられない場合だけ、選択肢として伝える）
・確かめていないことを、確かめたように書かない

もし判定が「要対応」になったり、分からないことがあれば、ホームページを作った制作会社に相談してみてください。

ぞろ屋で制作させていただいたクライアント様は、いつものご連絡先からお気軽にどうぞ。

今回の件で考えた、ぞろ屋のこれからの方針

いざという時に選べるの図解。サイトの土台を手元に持っておけば、WordPressにも、別の仕組みにも進める

慌ててWordPressをやめる必要はありません

今回の欠陥は、WordPress自体の問題ではありません。PHPで動くホームページ全体の話で、レンタルサーバーなら、修正はサーバー会社が入れるものです。

だから、これだけでWordPressをやめる必要はありません。安全に使えるなら、今のホームページをそのまま使い続けるのが一番です。

もちろん、PHPを使わない仕組みなら今回の影響は受けません。ただ、そちらはそちらで別の管理やリスクがあります。どちらが良いかは、ホームページの使い方次第です。

PHPを使わない作り方の例は、Astroとは？WordPressとの違い・料金・使い方に書きました。

WordPressからの引っ越し対応を検討しています

WordPressからほかの仕組みへ乗り換えたい方に向けて、ぞろ屋でも引っ越しのサポートをいま検討しています。

ぞろ屋のホームページ作りは、まずHTMLとCSSでサイトを組んでから、WordPressに載せる手順をとっています。

サイトの土台データが手元にあるので、WordPress以外の仕組みへも移せる余地があるんです。

これまで制作に携わらせていただいたクライアント様には、格安でお引き受けする予定です。

詳しい内容が固まり次第、あらためてご案内しますね。

会員機能やEC機能があるサイトは、このまま運用する方が安全なこともあります

ただ、会員機能やネットショップのような特別な機能が入っているホームページは、今のまま運用したほうが安全な場合もあります。

決済や在庫、会員データを別の仕組みに移そうとすると、作り直す範囲が大きくなって、移行中の不具合リスクも増えるからです。

そのため、引っ越しが向いているかどうかは、ホームページごとに個別に判断します。ケースバイケースになる点は、あらかじめご了承ください。

まとめ｜まずは、PHPのバージョンを確かめる

レンタルサーバーなら、PHPの修正はサーバー会社が入れるもの。慌ててサイトを止める必要はありません
エックスサーバーで「8.2」以上なら対応は不要。「8.1」以前（7.4など）なら、8.3以上へ切り替えてください
今あるWordPressのサイトも、安全に使えるならそのままでOK。引っ越しは機能に合わせて判断しましょう

まずは、WordPressの管理画面のサイトヘルスで、PHPのバージョンを確かめてみてください。

WordPressからの引っ越し対応は、ぞろ屋の公式LINEでもお知らせします。

ぞろ屋の公式LINEに登録する

出典

PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日） https://www.php.net/archive/2026.php
PHP公式「Supported Versions」 https://www.php.net/supported-versions.php
WordPress日本語公式「PHP の重大なセキュリティリリース」（2026年10月21日） https://ja.wordpress.org/2026/10/21/critical-php-security-release/
エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日 13:15時点） https://www.xserver.ne.jp/
エックスサーバー「PHPのバージョン切り替え」（マニュアル） https://www.xserver.ne.jp/manual/man_program_php_ver.php
エックスサーバー「自動バックアップ」 https://www.xserver.ne.jp/functions/service_backup.php
KSB瀬戸内海放送（ANN）「高市総理「速やかに対応の準備を」プログラミング言語「PHP」に脆弱性」（2026年10月21日） https://news.ksb.co.jp/ann/article/16983958
W3Techs「Usage statistics and market share of WordPress」（2026年10月21日） https://w3techs.com/technologies/details/cm-wordpress
W3Techs「Usage statistics and market share of PHP for websites」（2026年10月22日） https://w3techs.com/technologies/details/pl-php
PHP公式「History of PHP」 https://www.php.net/manual/en/history.php.php

「良いな」と思ったらシェアしてください！損はさせません

URLをコピーしました！

URLをコピーしました！