【緊急】PHP脆弱性 2026年10月の重大リリース: 影響と対応・対策（公式確認中・重大な脆弱性2件）
概要
php.netは2026年10月20日、CVSS v4.0で9.2と評価される重大な脆弱性2件を修正するセキュリティリリースを、2026年10月21日 14:00 UTC(日本時間23:00)に予定していると告知しました。
影響を受けるバージョン
影響を受けるバージョンと修正バージョンは、まだ公開されていません。php.netでサポート中のブランチは次のとおりです。
| ブランチ | 状態 | セキュリティサポート |
|---|---|---|
| PHP 8.5 | 公式アドバイザリ公開待ち | 2029-12-31まで |
| PHP 8.4 | 公式アドバイザリ公開待ち | 2028-12-31まで |
| PHP 8.3 | 公式アドバイザリ公開待ち | 2027-12-31まで |
| PHP 8.2 | 公式アドバイザリ公開待ち | 2026-12-31まで |
| PHP 8.1 | 危険: 修正版は提供されません | 2025-12-31に終了 |
| PHP 8.0 | 危険: 修正版は提供されません | 2023-11-26に終了 |
| PHP 7.4 | 危険: 修正版は提供されません | 2022-11-28に終了 |
サポートが終了したブランチ(PHP 8.1以前)には、php.netから修正版は提供されません。サポート期限一覧
あなたのサイトは対象？
まず、サイトで動いているPHPのバージョンを確認します。phpcheck.jpの無料チェックは、URLまたはバージョンを入力すると、登録済みの脆弱性に該当するかをその場で判定します。今回の脆弱性は、影響バージョンを確認して判定データに追加したあと、もう一度チェックすると判定に反映されます。
WordPressへの影響
WordPressはPHPで動いています。PHP本体の脆弱性は、WordPressのバージョンではなく、サーバーで動いているPHPのバージョンと構成によって影響が決まります。PHPのバージョンは、WordPressの管理画面で確認できます。
- WordPressの管理画面に管理者アカウントでログインします。
- 左メニューの 「ツール」→「サイトヘルス」 を開きます。
- 画面上部の 「情報」 タブを開きます。
- 「サーバー」 の項目をクリックして開きます。
- 「PHPバージョン」 の行に表示されている番号が、いま使っているPHPのバージョンです。
WordPressのPHPバージョン確認・推奨バージョン →
レンタルサーバー別の対応状況(随時更新)
レンタルサーバーを使っている場合は、各社の公式のお知らせで、PHPの更新状況を確認してください。
| サーバー | 今回の対応状況 | 確認先 |
|---|---|---|
| エックスサーバー | 公式のお知らせを確認してください | エックスサーバーのPHP更新・切替手順 |
| ConoHa WING・ロリポップ・さくらのレンタルサーバ ほか | 公式のお知らせを確認してください | 各社のお知らせ・マニュアル |
| VPS・自社サーバー | ご自身での更新が必要です | OS・ディストリビューションのセキュリティ情報 |
前例: 2024年のCVE-2024-4577では、公開(6月6〜7日)から約1週間後の6月13日に、XServer VPSが影響範囲(Linux/エックスサーバー環境は対象外)を告知しました。
CMS・フレームワーク別の確認方法
CMS・フレームワークごとに、PHPのバージョンの確認方法と更新の進め方をまとめています。一覧を見る →
- WordPress
- Drupal
- Joomla
- Magento(Adobe Commerce)
- Laravel
- Symfony
- CodeIgniter
- CakePHP
- EC-CUBE
- PrestaShop
- OpenCart
- Moodle
- MediaWiki
- phpBB
- Concrete CMS
- TYPO3
いまできる対応・対策
- サイトのPHPバージョンを確認する(確認方法)
- サポート中のブランチか確かめる(サポート期限一覧。PHP 8.2は2026年12月31日に終了)
- ファイルとデータベースのバックアップを取り、更新手順を確認しておく
- リリース後、修正バージョンが出たら更新し、もう一度チェックする
よくある質問
2026年10月のPHPの脆弱性とは？
php.netが2026年10月20日に告知した、PHP本体の重大(Critical)な脆弱性2件のことです。告知での深刻度はCVSS v4.0 9.2で、修正版のリリースは2026年10月21日 14:00 UTC(日本時間23:00)です。CVE番号と詳しい内容は、公式アドバイザリの公開後に掲載します。
どんな影響がありますか？
告知で公表されているのは件数と深刻度だけで、具体的な影響(どの機能・どの構成が対象か)は公式アドバイザリで公開されます。当サイトでは、公式の情報を確認してから掲載します。
対象バージョンは？
対象バージョンはまだ公開されていません。php.netの告知では、リリース時(日本時間2026年10月21日 23:00)に公開されるとしています。それまでに、サイトで動いているPHPのバージョンを確認しておきましょう。
いますぐできる対応は？
サイトで動いているPHPのバージョンを確認し、ファイルとデータベースのバックアップを取っておきます。修正版が出たら、使っているブランチの修正バージョン以上に更新し、もう一度チェックしてください。サポートが終了したブランチ(PHP 8.1以前)には修正版が出ないため、サポート中のブランチへの移行が必要です。
対策は？一時的な回避策はありますか？
根本的な対策は、修正版への更新です。公式アドバイザリで一時的な緩和策が案内された場合は、このページとCMS別のページに掲載します。公式に確認されていない回避策は掲載していません。
今回のPHPの脆弱性はWordPressにも関係しますか？
WordPressはPHPで動いているため、PHP本体の脆弱性は、WordPressのバージョンではなく、サーバーで動いているPHPのバージョンと構成によって影響が決まります。まずサイトヘルスでPHPのバージョンを確認してください。
修正バージョンはいつ分かりますか？
php.netの告知では、影響バージョンと修正バージョンはリリース時(2026年10月21日 14:00 UTC、日本時間23:00)に公開されるとしています。当サイトでは公開された情報を確認したうえで掲載します。
レンタルサーバーを使っている場合はどうすればいいですか？
まず各社の公式のお知らせで、PHPの更新状況を確認し、必要に応じて管理画面でPHPのバージョンを切り替えてください。エックスサーバーについては専用のページにまとめています。
更新履歴
- 2026-10-21: php.netの事前告知にもとづいてページを公開
出典
- php.net: Upcoming Critical PHP Security Release
- PHP 8 ChangeLog
- PHP: Supported Versions
- XServer VPS(お知らせ)
最終確認日: 2026-10-21