2026年10月21日公表・緊急
PHPに、ログインなしで外部から不正にプログラムを実行される恐れのある脆弱性が2件見つかり、修正版が公開されました。WordPressをはじめ、PHPで動いている多くのサイトが対象です。
サーバーがPHPのバージョンを公開していれば、修正版かどうかをこの場で判定できます。
通常の閲覧と同じ範囲だけを確認します。メールアドレスは不要です。
Webからのリクエストを処理しているPHPが対象で、PHP-FPM・Apache の mod_php・php-cgi・FrankenPHP・LiteSpeed などが含まれます。PHPの開発チームは、Apache の mod_php ではアプリケーションのコードが動く前に攻撃できることを実証しており、最も優先して対応すべき環境としています。
php -v で確認できます。ただし、Webで使われるPHPとコマンドのPHPが別の場合があるので、上の方法とあわせて確認してください。Ubuntu・Red Hat などOSに付属するPHPは、バージョン番号が変わらないまま修正だけが取り込まれていることがあります。番号だけで判断せず、サーバー会社や管理者にもご確認ください。
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降に更新してください。更新が唯一の根本的な対策です。PHP 8.2 は2026年12月31日でサポートが終了するため、8.3以降への移行も計画してください。
8.1以前には正式な修正版が出ません。テーマやプラグインが新しいPHPで動くかを確認したうえで、移行を急いでください。
PHPの開発チームは、更新までの間の暫定策として次を挙げています。危険を減らすだけで、安全になるわけではありません。
session.upload_progress.enabled=0 を設定し、PHPのプロセスを再起動するpost_max_size を小さくする（アップロードなしなら 8M、ありなら 32M 程度）memory_limit=-1 を、アプリケーションから上書きできない場所で設定するfatal_error_backtraces=0 を設定する修正がすぐに適用できず、重要な情報を扱うサイトの場合は、一時的にサイトを止めることも危険を減らす方法の一つです。
公表後、修正版にも別の問題が残っているとする研究者の報告も出ていますが、2026年10月22日時点でPHPの公式は認めていません。PHP公式・サーバー会社の追加の発表を確認し、新しい修正版が出たら速やかに適用してください。このページも、公式の発表に合わせて更新します。
関係あります。WordPressはPHPで動いているため、サーバーのPHPが修正版より古ければ影響を受けます。WordPress本体やプラグインを更新しても、この問題は解決しません。
ご利用中のサーバー会社のお知らせを確認してください。多くのレンタルサーバーでは、管理画面からPHPのバージョンを切り替えられます。サーバー会社側で修正済みの場合もあります。
PHP 8.1以前には正式な修正版が出ません（PHPの開発チームは7.4・8.0・8.1向けに最小限の修正を公開していますが、サポートは終了しています）。サポート中のPHP 8.2以降、できれば8.3以降への移行を急いでください。
安全とは限りません。サーバーがバージョンを隠しているだけの場合があります。サーバーの管理画面や、WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」でバージョンを確認してください。
出典：PHP公式サイト（php.net） ／ CISA: Critical Vulnerabilities in PHP Require Immediate Patching 最終更新：2026年10月22日
WordPress・プラグインの更新状況や、SEO・AI検索への対応もあわせて無料で診断します。