レンタルサーバーがPHPの脆弱性に対応済みと言っている場合、自分がやること

WindowsMac更新 2026-10-31

レンタルサーバー会社のパッチが更新するのは、サーバーがサイトを動かすのに使っているPHPです。PHPの開発元は2026年10月21日に、その修正をPHP 8.5.12、8.4.27、8.3.36、8.2.35として公開しました。その上に自分で入れたソフトウェアは別の話です。WordPressのセキュリティ強化のガイドは、ウェブホストは基盤には責任を持つことが多いものの、利用者が選んでインストールしたアプリケーションには責任を持たない、と書いています。この記事は2026年10月23日時点の情報です。

要点

サーバー会社のパッチが直すのはサーバーのPHPです。自分のアカウントでは、WordPressなどのCMSと、そのプラグインやテーマを更新します。cPanelではドメインごとにPHPのバージョンを選べるので、サイトごとに確認します。JPCERT/CCが求めるとおり攻撃の形跡も調べ、おかしな点があればパスワードを変えます。

サーバー会社のPHPのパッチは何を直すのですか？

PHPそのものです。10月21日のPHPのアドバイザリによると、2件の脆弱性CVE-2026-109618とCVE-2026-109619は、ウェブのリクエストを処理しているすべてのPHPに影響し、ログインなしでリモートからコードを実行される（リモートコード実行）おそれがあります。外部の誰かが、ログインもせずにサーバーで自分のコードを動かせるかもしれないということです。アドバイザリが挙げているのはPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedで、どれもサーバー側のソフトウェアです。共用のレンタルサーバーやマネージドサービスなら、この更新はサーバー会社の担当です。

このパッチで、WordPress本体やテーマ、プラグインが更新されるわけではありません。それぞれに別の更新があります。

悪用の状況は、2026年10月23日時点で次のとおりです。CISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。PHPのアドバイザリは、危険度が最も高いとするApacheのmod_phpについて、実際に動く攻撃方法が確認されているとしています。

WordPress、プラグイン、テーマの更新はまだ必要ですか？

必要です。WordPressのセキュリティ強化のガイドは、WordPressは常に最新版に保つよう勧め、古いバージョンにはセキュリティ更新が出ないとしています。プラグインについても同じで、使っていないものは削除するよう勧めています。WordPress日本語版の「PHP の更新」ページも、更新の前にバックアップを取るよう勧めています。

管理画面にログインし、「ダッシュボード」>「更新」を開きます。
WordPressの新しいバージョンが表示されていれば、「今すぐ更新」をクリックします。
同じ画面で、更新があるプラグインとテーマにチェックを入れ、それぞれの更新ボタンをクリックします。一覧の上のチェックボックスで、すべてを選択できます。
「プラグイン」>「インストール済みプラグイン」を開き、使っていないプラグインを削除します。

WordPressのドキュメントによると、いまはほとんどのサイトでマイナーリリースやセキュリティリリースがバックグラウンドで自動的に適用されますが、メジャーリリースは自分で更新ボタンを押す必要があります。

自分のサイトは実際にどのPHPのバージョンで動いていますか？

思い込まずに確認してください。cPanelのドキュメントによると、ドメインごとに、インストールされているどのPHPのバージョンでも使えます。サーバー会社が修正したバージョンと、自分のそれぞれのサイトが使っているバージョンは、別々に確かめる価値があります。WordPressやcPanelでの確認場所はPHPのバージョン確認方法、古いリリースのサイトの切り替え方はWordPressのPHPを更新する方法で説明しています。PHPのアドバイザリによると、PHP 8.1以前には開発元からの更新はもう提供されないので、そうしたサイトはサーバー会社に相談が必要です。詳しくはPHPのサポート終了と8.1以前の選択肢をご覧ください。

改ざんや攻撃の形跡を確認したほうがよいですか？

はい。パッチが当たるまでに少しでも間があったなら確認してください。JPCERT/CCは、修正版の適用とあわせて侵害の有無を調べるよう求め、ログなどに痕跡が見つからない場合でも、攻撃を受けていないと断定することはできないとしています。NCSCも、すぐに更新できなかったシステムは、更新や緩和策の前に侵害の形跡がないかを調べ、バックドアを探すよう求めています。新しいPHPで脆弱性はふさがりますが、それまでに何かあったかどうかは教えてくれません。

「ユーザー」>「ユーザー一覧」を開き、一覧の上の「管理者」をクリックします。WordPressの「ハッキングされた場合は」のFAQは、身に覚えのない新しいユーザーの作成を、はっきりした兆候の一つに挙げています。
Google Search Consoleの「セキュリティの問題」レポートを開きます。Googleによると、サイトがハッキングされたり、訪問者に害を及ぼすおそれがあると判断した場合に、その結果が表示されます。
サーバー会社に、自分のアカウントで何か検知していないか聞きます。

JPCERT/CCがログで確認する点として挙げている項目は、ホームページが改ざんされたときの対処にまとめています。自分でログを見られない場合は、これらを確認したかサーバー会社に聞いてください。

パスワードはいつ変えればよいですか？

おかしな点があれば、すぐに変えてください。WordPressの「ハッキングされた場合は」のFAQは、サイトとサーバーにアクセスするすべてのパスワードを変えるよう求めています。どのパスワードをどの順番で変えるかは、ホームページが改ざんされたときの対処にまとめています。

サーバー会社には何を聞けばよいですか？

短く具体的な質問のほうが、役に立つ答えが返ってきます。

私のそれぞれのサイトは、いまどのバージョンのPHPで動いていますか。8.5.12、8.4.27、8.3.36、8.2.35のいずれかになっていますか。
ドメインが「Inherited」（継承）になっている場合、サーバーの標準のバージョンは何ですか。
PHP 8.1以前のサイトには、修正を取り込んでいますか。PHPの開発元によると、修正を独自に取り込んでいる提供元があります。
10月23日のPHPの情報提供アドバイザリが、次の通常のバグ修正リリースまでの設定として勧めている「session.upload_progress.enabled=0」は設定済みですか。
私のアカウントや、共用しているサーバーで、侵害を示すものは見つかっていますか。WordPressのFAQは、共有サーバーではほかのサイトにも被害が及んでいるかもしれないと書いています。
私のサイトのバックアップはどのように保管していますか。WordPressのFAQは、サーバー会社にバックアップの方針を聞くよう勧めています。

よくある質問

使っているレンタルサーバーはPHP2Shellの影響を受けますか？

ウェブサイトを動かすのにPHPを使っているなら、更新するまでは対象でした。NCSCはPHPのどのバージョンを使っている組織も影響を受けるとし、JPCERT/CCはPHPが国内で広く利用されていることを確認しているとしています。脆弱性そのものの説明はPHPの脆弱性「PHP2Shell」とはをご覧ください。

サーバー会社がPHPを修正しました。これでサイトは安全ですか？

修正版のリリースでは、PHPの2件の脆弱性は直っています。ただ、WordPressのセキュリティ強化のガイドは、共有サーバーで同じサーバーの別のサイトが侵害されると、自分のサイトも侵害される可能性があると書いています。自分での更新、バージョンの確認、形跡の確認は、それとは別に必要です。

WAF（ウェブアプリケーションファイアウォール）はパッチの代わりになりますか？

なりません。CISAは、修正が終わるまでの間、WAFがある程度の防御になる可能性があるとしています。PHPのアドバイザリは、完全な解決策は更新だけで、一時的な対策で安全な状態にはならないとしています。

10月23日のPHPのアドバイザリは何についてのものですか？

別の、起こりにくいリモートコード実行の経路（CVE-2026-115560）についてです。PHPの開発元によると、珍しい設定とアプリケーションのコードの組み合わせでしか起きず、次の通常のリリースまでsession.upload_progress.enabled=0にするよう勧めています。これはサーバーの設定なので、レンタルサーバーではサーバー会社が行います。

サーバー会社が修正するまで、サイトを止めたほうがよいですか？

NCSCは、すぐに更新や緩和ができないシステムはオフラインにすることを検討するよう勧めています。IPAも、有効な暫定対策が難しい場合は、外部からのアクセスの遮断やサービスの一時停止が必要か判断するよう求めています。サイトが修正版で動いていると確認できれば、この助言はもう当てはまりません。