WordPressのPHPを更新する方法（PHP2Shell対応の手順）

WindowsMac更新 2026-10-31

PHPはWordPressの管理画面からは更新できません。PHPはレンタルサーバー側で動いているので、サーバーの管理画面で切り替えるか、サーバー会社に更新してもらいます。2026年10月21日のPHPのセキュリティアドバイザリを受けて、使うべきバージョンは8.5.12、8.4.27、8.3.36、8.2.35のいずれかです。PHPの開発元は、完全な対策は更新だけだとしています。この記事は2026年10月23日時点の情報です。

要点

サイトをバックアップし、「ダッシュボード > 更新」で本体、テーマ、プラグインを更新します。次にレンタルサーバーの管理画面（cPanelならMultiPHP Manager）でPHPを切り替え、「ツール > サイトヘルス > 情報 > サーバー」でバージョンを確認します。無理ならサーバー会社に依頼します。

なぜ今PHPを更新する必要があるのですか？

PHPの開発元は2026年10月21日に、2件の重大な脆弱性CVE-2026-109618とCVE-2026-109619の修正版を公開しました。アメリカのCISAによると、この2件は「php2shell」と呼ばれています。PHPのアドバイザリは、ウェブのリクエストを処理しているすべてのPHPが対象で、ログインなしでリモートからコードを実行されるおそれがあるとしています。JPCERT/CCとIPAも10月22日に注意喚起を出しました。

WordPressはPHPで動いているので、WordPressのバージョンに関係なく、PHPが古ければ対象になります。脆弱性そのものについてはPHPの脆弱性「PHP2Shell」とはで、今のバージョンがわからない場合はPHPのバージョンを確認する方法で説明しています。

更新の前にバックアップを取るには？

サイトは2つの部分からできているので、両方をバックアップします。WordPressのバックアップの解説によると、投稿やコメントはデータベースに、WordPress本体、テーマ、プラグイン、アップロードした画像、wp-config.phpなどはファイルとして保存されています。ファイルだけをバックアップしても、データベースは含まれません。

レンタルサーバーにバックアップ機能があるかを確認します。
ない場合は、バックアッププラグインを使うか、phpMyAdminでデータベースを書き出し、FTPでファイルをコピーします。
コピーは複数の場所に保存します。WordPressの解説では、最新のバックアップを3つから5つ、サーバー、クラウドストレージ、自分のパソコンなど別々の場所に置くことを勧めています。

WordPressの「PHP の更新」ページは、バックアップがあれば正常だった時点にサイトを戻せると説明しています。

WordPress本体・テーマ・プラグインを先に更新するには？

WordPressの「PHP の更新」ページは、PHPを切り替える前にすべてを最新にし、サイトが動くことを確かめるよう勧めています。

WordPressの管理画面で「ダッシュボード」>「更新」を開きます。
新しいWordPressのバージョンが表示されていれば、「今すぐ更新」をクリックします。
更新が待っているプラグインとテーマを更新します。
サイトを開き、ネットショップやお問い合わせフォームなど、大事なページが動くかを確認します。

テーマやプラグインが新しいPHPに対応しているかは、PHP Compatibility Checkerというプラグインで確認できると、WordPressは紹介しています。ただし、このチェックは完璧ではなく、誤って問題ありと判定することもあると注意しています。問題が見つかった場合は、テーマやプラグインの開発者に問い合わせるか、似たものに乗り換えるのがWordPressの助言です。

PHPのバージョンを切り替えるには？

PHPはサーバーにインストールされているので、切り替え方はレンタルサーバー会社によって違います。WordPressの「PHP の更新」ページもそう説明しています。ご利用のサーバー会社のマニュアルで「PHPバージョン」の設定画面を探してください。

管理画面がcPanelの場合は、公式ドキュメントにある「MultiPHP Manager」（MultiPHPマネージャー）で、ドメインごとにPHPのバージョンを設定できます。

cPanelにログインし、MultiPHP Managerを開きます。
変更したいドメインの横のチェックボックスを選びます。
「PHP Version」のメニューからバージョンを選びます。
「Apply」（適用）をクリックします。

cPanelのドキュメントによると、メニューに出てくるのはサーバー管理者がインストールしたバージョンだけです。そのため、たとえば8.3.36のように、同じ系列の中でどの番号になるかはサーバー会社が何を入れているかで決まります。切り替えた後の確認が大切なのはこのためです。

更新した後は何を確認すればよいですか？

まずバージョンを、次にサイトそのものを確認します。

WordPressで「ツール」>「サイトヘルス」を開き、「情報」タブの「サーバー」を開きます。
「PHP バージョン」が修正版（8.5.12、8.4.27、8.3.36、8.2.35のいずれか）になっているかを確認します。
サイトの主なページを開き、管理画面へのログインとログアウトも試します。
「ツール」>「サイトヘルス」の「ステータス」タブに、新しく重大な問題が出ていないかを見ます。

表示が崩れるなど問題が起きた場合、WordPressの「PHP の更新」ページは、まずサーバー会社に以前のPHPバージョンに戻すよう相談し、そのうえでバックアップから復元するという順番を案内しています。

サーバー会社に頼んだほうがよいのはどんなときですか？

次のどれかに当てはまる場合は、サーバー会社に依頼してください。

MultiPHP Managerでドメインが「Inherited」（継承）になっている。 cPanelによると、サーバー管理者が決めた標準のバージョンを使っている状態で、管理者しか変えられません。
必要なバージョンがメニューにない。 cPanelによると、管理者がインストールしたバージョンしか表示されません。
PHPの設定画面が見つからない、またはサーバーの管理をすべて任せるプランを使っている。
PHP 8.1以前を使っている。 PHPのアドバイザリによると、8.1以前にはPHPの開発元からの更新はもう提供されません。サーバー会社が独自の修正を適用しているかを聞くか、サポート中のバージョンに移行します。

すぐに更新できない場合、IPAは緩和策やアクセス制限で一時的に対応し、それでも足りなければ外部からのアクセスの遮断やサービスの停止を検討するよう勧めています。ただ、PHPのアドバイザリは、緩和策では安全な状態にはならないとしています。共用のレンタルサーバーなら、依頼すべきなのは更新そのものです。

よくある質問

WordPressの管理画面からPHPを更新できますか？

できません。WordPressの「PHP の更新」ページによると、PHPの更新はレンタルサーバーの設定で行うか、サーバー会社に依頼します。管理画面では「ツール > サイトヘルス > 情報 > サーバー」でバージョンを確認できますが、変更はサーバー側で行います。

WordPressにはどのPHPバージョンが推奨されていますか？

WordPressの「PHP の更新」ページは、PHP 8.3以上を推奨しています。ただしPHP2Shellについては系列の数字だけでなく細かい番号が大事で、修正版は8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.2.35のリリース告知によると、8.2系は2026年12月31日でサポートが終わります。

PHPを更新するとサイトが壊れることはありますか？

テーマやプラグインが新しいバージョンに対応していないと、起こりえます。そのためWordPressは、先にバックアップとすべての更新を済ませ、PHP Compatibility Checkerで確認するよう勧めています。問題が起きたら、サーバー会社に元のバージョンに戻してもらいながら対処できます。

WordPressを更新すればPHP2Shellの対策になりますか？

なりません。脆弱性はWordPressではなくPHPにあります。WordPress本体、テーマ、プラグインの更新はPHPを切り替える前の準備として大切ですが、PHPのアドバイザリによると、完全な対策はPHPの更新だけです。

すでにサイトが改ざんされているかもしれない場合は？

JPCERT/CCは、修正版への更新に加えて、攻撃を受けた形跡がないかを調べるよう勧めています。個人のサイトで最初にやることはホームページが改ざんされたときの対処にまとめています。