まず、PHPを使っているかを確認する

WordPressで動くサイトはPHPを使っています。 WordPress本体やプラグインを更新したことと、サーバー側のPHPを更新したことは別です。「WordPressは最新です」という回答だけで、今回の対応が完了したとは判断できません。

WordPressを使っていなくても、問い合わせフォームや会員ページなどの一部でPHPを使っていることがあります。見た目やURLだけで判断せず、制作会社・保守会社へ確認してください。

最初に伝えるのは、自社サイトのURLと「今回のPHPの脆弱性の対象か確認したい」という用件です。制作時の資料、保守契約、サーバーの請求書を見れば、連絡先を探せます。分からない場合は、契約しているレンタルサーバーの窓口に利用状況と管理担当を聞きましょう。

今回、何が修正されたのか

PHP開発元の10月21日の発表によると、ログインしていない第三者から、サーバーで不正なプログラムを実行される可能性がある重大な脆弱性2件が修正されました。識別番号は CVE-2026-109618、CVE-2026-109619 です。

対象は、Webからのリクエストを処理するPHPです。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを含み、開発元はmod_phpの危険が最も高いとしています。これらの名前を覚える必要はありません。自社の構成と修正の要否を、サーバーを管理する人に確認するための情報です。

10月21日に公開された修正版は、次のとおりです。開発元は速やかな更新を強く推奨しています。

利用する系列 今回の修正を含む版
PHP 8.5系 8.5.12
PHP 8.4系 8.4.27
PHP 8.3系 8.3.36
PHP 8.2系 8.2.35

Linuxの配布元や長期サポートの事業者には、事前に修正が渡っています。独自に修正を取り込んだ更新が提供される場合があるため、上の版番号と違うだけで未修正と断定せず、提供元の案内と適用結果を確認してください。

PHP 8.1以前は、PHP開発元の通常の更新対象ではありません。開発元はソースから作る人向けの最小限の修正も提供していますが、サイトの担当者が自分で適用する前提にせず、提供元による修正の有無や、サポート中の版への移行を管理者へ相談してください。

IPAの10月21日の案内は公開前の予告です。その予告では、発信時点でIPAが今回の脆弱性を悪用した攻撃を確認していたわけではないと説明しています。これは現在の悪用や、自社の被害の有無を示すものではありません。10月22日には修正版公開後の注意喚起が出ています。準備だけで終わらせず、適用状況を確かめましょう。

誰が更新するかは、サーバーの契約で変わる

次は一般的な分担です。実際の対応範囲・日時・利用者の操作は、各社の案内と契約を確認してください。

利用している環境 最初に聞く相手と確認すること
共用のレンタルサーバー PHPの更新はサーバー事業者が行うことが多いため、事業者の案内で対象と適用状況を確認します。制作会社には、利用するPHPの設定やサイトの動作確認を誰が担当するか聞きます
VPS・自社で管理するサーバー 自社の管理担当者、またはサーバー保守を委託している会社に、更新の担当と予定を聞きます。サーバーを借りているだけで自動更新されるとは限りません
サイト運用をまとめて委託している 契約窓口へ、PHPの更新を含むか、サーバー事業者への確認と更新後の動作確認をどこまで行うか聞きます

「制作した会社」と「今の保守担当」が違う場合もあります。窓口が別なら、誰が回答を取りまとめるかを決めてください。未確認の項目はそのまま残し、回答予定を聞きましょう。

制作会社・保守会社への問い合わせ文例

URLなどを自社の内容に置き換えて使えます。パスワードや管理画面の認証情報は、この問い合わせに添付しないでください。

件名：自社サイトのPHPの利用状況と修正対応の確認

当社サイト（対象のURL）について、2026年10月21日に公開されたPHPの脆弱性2件（CVE-2026-109618、CVE-2026-109619）の対応状況を確認したく、ご連絡しました。

  1. このサイトや問い合わせフォームでPHPを使っていますか。使っている場合、Webサイトを動かしているPHPの版と提供元を教えてください。
  2. 今回の修正は必要ですか。対応済みの場合は、適用日時と修正済みと確認できる提供元の案内・作業結果を教えてください。
  3. 未対応の場合は、誰がいつ更新する予定ですか。保守契約に含まれる範囲と、追加費用の有無も確認したいです。
  4. 更新前のバックアップと、問題が起きた場合の復旧方法をどう準備しますか。更新後の表示・問い合わせフォームの送信と受信は、誰がどこまで確認しますか。
  5. すぐに更新できない場合は、その理由と当面の対応、アクセス制限や一時停止の要否を教えてください。

確認に時間がかかる項目は、回答予定をお知らせください。

担当者は回答を受けたら、対象のURL、更新担当、予定または適用日時、確認結果、残る対応を社内で共有します。「サーバーは対応済み」という連絡が、自社の契約環境を含むかも確かめてください。

更新後は、表示と問い合わせの受信まで確かめる

修正の適用確認は管理者に依頼し、サイトを使う側でも主要な動作を確認します。次は一般的な確認項目です。会員機能や購入機能があれば、担当者と対象を追加してください。

  1. 適用結果：実際にサイトを動かすPHPに修正が反映されたか、管理者の作業結果で確認します。
  2. サイトの表示：トップ、サービス案内、問い合わせページなどがPCとスマートフォンで開き、画像・文字・リンクが普段どおり使えるかを見ます。
  3. 問い合わせフォーム：社内で確認用の送信を調整し、送信完了の表示だけでなく、担当者の受信先に届くことまで確認します。確認用と分かる内容にし、顧客情報は使いません。
  4. 業務に必要な操作：ログインや検索など、普段利用する機能を担当者と確認します。注文・決済など実処理を伴う操作は、保守担当者と確認方法を決めてから行います。
  5. 結果と残る問題：確認した日時・担当・結果を残し、不具合があれば更新担当へ伝えます。復旧が必要な場合も、未修正の状態へ戻したまま公開を続ける判断はせず、対応を相談します。

表示やフォームが動くことと、侵害されていないことは別です。 不審な動作がある場合は、保守会社や専門事業者へ記録の保全と調査を相談してください。この区別は、VPNの修正と侵害調査の記事でも扱っています。

保守契約がない・すぐ更新できない場合

まず、契約しているサーバー事業者に、利用環境の対象確認と修正の提供状況を聞きます。そのうえで元の制作会社へ、今回だけの更新・動作確認を依頼できるか相談してください。対応できない場合は、PHPやWordPressの保守を扱う事業者へ、対象と作業範囲を伝えて見積りを依頼します。

依頼時には「PHPの更新」「サイト側の改修・動作確認」「必要な侵害調査」を分けて範囲と費用を確認します。制作時の資料や契約先を整理し、認証情報は依頼先と共有方法を決めてから渡してください。

更新を待つ間の緩和策は、PHP公式にも案内されています。ただし、一部の攻撃経路への危険を減らすもので、安全な状態にするものではないと説明されています。設定値だけを自己判断で変えず、管理者に適用できる対処と限界を確認してください。

IPAの10月22日の案内では、有効な暫定対策が難しい場合、被害や業務への影響を踏まえ、外部からのアクセス遮断やサービスの一時停止が必要か判断するよう求めています。経営者・業務責任者も保守担当者と相談し、更新の予定、停止中の連絡手段、再開を判断する条件を決めてください。

問い合わせ受付などが止まる場合の代替手順は、業務継続と再開の確認が参考になります。顧客情報の保管先や委託先も含めて確認する場合は、個人情報漏えいを受けて今週確かめることへ進んでください。

よくある質問

Q. WordPressを更新したので、PHPも修正済みですか？ WordPressとPHPは別に更新します。サイトを動かしているPHPに今回の修正が適用されたか、サーバーの提供元・管理者へ確認してください。

Q. サイトは普通に表示されています。それでも確認が必要ですか？ 表示されることだけでは修正済みか分かりません。PHPの利用有無と、対象の修正の適用状況を確認してください。

Q. 制作会社から、サーバー会社に聞くように言われたら？ サーバー会社にはPHPの修正の適用状況を、制作会社にはサイト側の設定・互換性と更新後の動作確認を依頼できるか聞きます。契約により分担が異なるため、回答を取りまとめる担当も決めてください。