こんにちは、さるまりんです。
2026年10月、PHPに重大な脆弱性が見つかり、緊急のセキュリティアップデートが公開されました。
今回見つかったものは、条件によっては外部から意図しないコードを実行される可能性があるというものです。
首相からも大至急の対応を求める発信が出るくらいなので、ちょっと身構えますよね。
僕が運営しているWordPressサイトの中には、プラグインなどとの兼ね合いもあり、PHP 7.4系で動かしていたものがありました。
今回をきっかけに、
このままにしておくのはよくないな。
と思い、複数のサイトをPHP 8.4系へ変更しました。
今回は、PHPに重大な脆弱性が見つかったとき、WordPressを運営している側では何を確認すればいいのか、今回やったことを含めながら見てみます。
今回、何が起きたの？
2026年10月21日、PHPのセキュリティアップデートが公開されました。
PHP 8.4系では、
PHP 8.4.27が今回の修正版です。
今回の脆弱性では、認証していない外部の人からでも、条件によってサーバー上で意図しないコードを実行される可能性があります。
いわゆる、
Remote Code ExecutionRCEと呼ばれるものです。
難しい仕組みまで覚える必要はないと思います。
まずは、
外部から自分のサーバーで勝手な処理をされる可能性がある。
それくらいの理解でも、放っておくべきものではないことはわかりますね。
PHP 7.4で動いていたけれど
僕のサイトでは、WordPressやプラグインとの兼ね合いもあって、PHP 7.4系で動かしていたものがありました。
サイトそのものは普通に動いていました。
ただ、
動いている
=
安全に使い続けられるではありません。
PHP 7.4は、すでにPHP公式のサポートが終了しています。
今回の件に限らず、サポートが終了したPHPを使い続けると、新しく見つかった問題への更新を受けられないことがあります。
そこで今回は、PHP 8.4系へ変更することにしました。
一晩で複数サイトを一気に対応してよかったのか、というのはまた別の話ですが。
PHPを上げれば終わり、ということではありません
PHPを、
7.4
↓
8.4へ変更すれば、それですべて終わり。
だったら簡単なのですが、WordPressではそうとも限りません。
WordPress本体だけでなく、テーマ、プラグイン、自分で追加したPHPのコードなどもPHPで動いています。
古いプラグインなどでは、新しいPHPにするとエラーが出ることがあります。
はるか昔ですが、PHPを7.2に上げるときも、動かなくなったところをメモしていました。
今回僕も、PHPを8.4系へ変更しながら、問題になるプラグインなどを確認して、あわせて直していきました。
PHPを新しくすることは、
サイト全体が今の環境でもちゃんと動くか確認する機会
でもあるんですね。
共用サーバーでは自分でできないこともある
もう一つ、今回少しややこしかったところです。
僕が使っているのは共用サーバーです。
管理画面から、
PHP 7.4
↓
PHP 8.4のようにPHPの系列を変更することはできます。
でも、
8.4.26
↓
8.4.27のような細かなセキュリティアップデートを、自分でインストールするわけではありません。
そこはホスティング会社側の対応になります。
2026年10月22日時点では、PHP 8.4系へ変更したサイトを確認すると、PHP 8.4.26と表示されていました。
その後、10月23日に、お名前.comから共用サーバーSDのPHP 7.4と8.4へのセキュリティパッチ適用完了が発表されました。
今回のパッチは、バージョン番号を変えずに修正プログラムを取り込む方法で適用したとのことです。
つまり、
バージョン番号が変わっていないから、未対応とは限らない
ということなんですね。
そして10月25日には、僕の環境でもWordPressのサイトヘルスに、
PHP 8.4.27と表示されるようになったことを確認しました。
ホスティング会社からのパッチ適用完了のお知らせと、自分のサイトでのバージョン表示。その両方を確認できた形です。
共用サーバーを使っている場合には、バージョン番号だけで判断せず、ホスティング会社のメンテナンス情報やお知らせも確認しておきたいところです。
まず確認しておきたいこと
今回のような情報を見かけたら、まずは、
今使っているPHPのバージョンは何かを確認してみる。
古いPHPを使っているなら、対応している新しいPHPへ変更できるか確認する。
WordPressなら、変更後に、サイトが普通に表示できるか、管理画面に入れるか、プラグインでエラーが出ていないか、問い合わせフォームなどが動くか、といったところも見ておきたいですね。
共用サーバーの場合には、細かなアップデートがホスティング会社側で適用されているかも確認します。
WordPressなら、
ツール
↓
サイトヘルス
↓
情報
↓
サーバーから、現在使われているPHPのバージョンを確認できます。
ただし、バージョン番号を変えずに修正が適用される場合もあるので、ホスティング会社の対応状況もあわせて確認しておきましょう。
まとめ
今回のPHPの脆弱性をきっかけに、僕もいくつかのWordPressサイトのPHPを7.4系から8.4系へ変更しました。
その中で改めて感じたのは、
サイトが動いているから、そのままで大丈夫とは限らない
ということ。
PHPだけではなく、WordPressやテーマ、プラグインも含めて少しずつ新しい環境へ合わせていく必要があります。
一気に全部を変えるのはちょっと怖いこともあります。
それでも、重大な脆弱性が見つかったときには、
「自分のサイトはどうなっているんだろう？」
とまずは確認する。
そこからでいいのではないかと思います。
今回の脆弱性では、AIも発見や検証などに使われていたそうです。
AIが安全を守る側でも使われる一方で、攻撃を効率化する側でも使われ得る時代になっています。
その中で、人としてどう付き合っていくのか。
そんなことも少し考えました。
読んでくださってありがとうございました。
それではまた！