WordPressを更新した後でも、サーバー側のPHPに今回の修正が入ったかは別に確かめる必要があります。2026年10月21日に公表された「php2shell」は、WordPressを動かすPHP本体にある脆弱性で、サイトのコードやプラグインだけを更新しても解消しません。
会社のサイトを制作会社に任せている場合も、現在のPHPバージョンと、対象の脆弱性への対応状況を聞けば、依頼する内容を絞れます。管理画面での確認方法と、そのまま使える問い合わせ文例を順に見ていきましょう。
要点まず担当会社へ確認したいこと
現在使っているPHPの番号／今回の修正の適用状況／古いPHPを使っている場合の移行方針を確認します。WordPressの「更新済み」という表示だけで対応完了とは判断しません。
PHPの脆弱性はWordPress更新では直らない理由
PHPはWordPressの処理をサーバー上で動かすための仕組みで、WordPress本体や追加機能のプラグインとは別に管理されています。今回の問題はそのPHP本体にあるため、WordPress側の更新に加えて、PHPの修正版またはサーバー会社が提供する修正の適用が必要です。
php2shellで問題になっているのはPHP本体
今回公表された識別番号はCVE-2026-109618とCVE-2026-109619の2件で、認証していない第三者がサーバー上で不正な処理を実行できるおそれがあります。「脆弱性」はソフトウェアの安全上の弱点、「CVE」はその問題を特定するための番号と考えると、担当会社にも話を伝えやすいでしょう。
PHP公式は、Webからのアクセスを処理するPHP環境を対象に挙げています。構成によって攻撃の成立条件は異なりますが、「WordPressを最新にしたからPHP側も修正済み」とは判断できません。
出典:PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」(2026年10月21日)(英語)
それぞれの更新を確認
今回の修正適用を確認
8月のWordPress本体の「wp2shell」とは別の問題
名前が似ていても、今回のphp2shellと、8月に話題になったWordPress本体のwp2shellは別件です。過去の更新記録を確認するときも、名称だけでひとまとめにせず、今回のCVE番号が対応報告に含まれているかを見ます。
8月の件を調べたい場合はwp2shellで確認するWordPressの更新状況と照合し、今回のPHP側の確認を追加します。普段の更新確認の順番はWordPressの脆弱性対応で自社サイトを調べる手順も参考になります。
WordPressでPHPのバージョンを確認する方法
PHPのバージョンは、WordPressのサイトヘルスか、契約しているサーバーの管理画面で確認できます。最初は現在の番号を調べるだけにとどめ、変更作業は制作会社・保守会社と相談してから進めます。
サイトヘルスの「情報」からサーバーを開く
WordPressの管理画面へ入れる場合は、「ツール」→「サイトヘルス」→「情報」→「サーバー」の順で開き、「PHPバージョン」の番号を控えます。ログインできない、項目が見つからない場合は、管理権限を持つ担当者へ確認を依頼してください。
- WordPress管理画面の左メニューから「ツール」→「サイトヘルス」を開く。
- 「情報」タブを選び、「サーバー」を展開する。
- PHPバージョンを末尾まで記録し、対象のサイトURLと一緒に担当会社へ渡す。
この「情報」は現在の構成を表示する画面なので、ここからPHPの更新はできません。
確認した番号は、次の修正版の表とサーバー会社の告知を照合するために使います。
サーバーパネルでは対象ドメインの現在値を確かめる
エックスサーバーを利用している場合は、サーバーパネルの「PHP Ver.切替」で対象ドメインの現在のバージョンを確認します。新サーバーパネルではドメイン右側の編集から現在値を見られるため、確認段階では変更後のバージョンを選んで保存する必要はありません。
他社のサーバーでは項目名や場所が異なるため、契約先の公式マニュアルでPHP設定を探します。同じ契約内に会社サイト・採用サイトなどがある場合も、一つのサイトの番号だけで全体を確認済みにしないよう、対象ごとに記録しましょう。
注意本番サイトの設定をすぐ切り替えない
番号を確認したら、まず今回の修正が適用されているかを担当会社に聞きます。旧版からの切り替えは、サイトが動くかを確かめる準備と一緒に進めます。
PHPの修正版と8.1以前のサイトで進める対応
PHP公式が2026年10月21日に公開した修正版は、8.5.12・8.4.27・8.3.36・8.2.35です。使っている系統ごとに照合する番号が異なるため、「8.3だから大丈夫」のように途中の番号だけでは判断しません。
現在の系統と照合する修正版
| 現在の系統 | 今回の修正版 | 確認すること |
|---|---|---|
| PHP8.5系 | 8.5.12 | 修正の適用 |
| PHP8.4系 | 8.4.27 | 修正の適用 |
| PHP8.3系 | 8.3.36 | 修正の適用 |
| PHP8.2系 | 8.2.35 | 修正の適用 |
この表はPHP公式が公開した修正版の番号を示したもので、どの会社サイトも最新の系統へ一度に切り替える指示ではありません。現在の系統で修正を受けられるかを、契約先の案内と合わせて確かめます。
また、PHP公式は配布元や長期サポートの事業者による修正にも言及しています。表示される番号だけで対応を読み切れないときは、今回の2つのCVEに対する修正が適用済みかをサーバー会社へ問い合わせると、確認したい内容が伝わります。
8.1以前は「修正が一切ない」と決めつけない
PHP8.1以前は公式サポートが終了しており、PHPプロジェクトによる通常の更新版は出ません。ただし今回は、公式がPHP7.4・8.0・8.1向けに、最小限のソースの修正を公開しています。
このソースの修正は自分でPHPを組み立てる(ビルドする)人などを助けるためのもので、WordPressの管理画面で更新するプラグインとは扱いが異なります。レンタルサーバーを借りている会社は、自分で導入しようとせず、契約先が提供する修正の対象と適用状況を確認します。
補足今回の修正と、古い系統を使い続ける判断は別
サーバー会社が旧版に独自の修正を適用していても、今後の保守方針まで同時に決まるわけではありません。緊急の修正適用を確かめたうえで、サポート中の系統へ移す計画を相談します。
系統を上げる前にバックアップと動作確認をそろえる
古いPHPから新しい系統へ移す場合は、WordPress本体・テーマ・プラグイン・独自のプログラムが動くかを制作会社に確認します。エックスサーバーも、PHP変更後に表示できなくなる原因として、テーマやプラグインが選択した版に対応していない可能性を案内しています。
出典:エックスサーバー公式FAQ「PHPバージョンを切り替えてから、サイトが正常に表示されなくなりました」
そのため、本番のPHPを上げてから初めて動作確認する進め方は避けます。サイトのファイルとデータベースのバックアップ、戻す手順、検証環境での確認項目を担当会社とそろえ、切り替える日時も決めておきましょう。
今回の修正
対象CVEへの対応と、サーバー側の適用完了を確かめる
移行の準備
バックアップと、現在の機能が動くかの確認をそろえる
切替後の確認
実際のPHPと、表示・管理画面・必要な機能を確認する
バックアップを用意する際も、保存できているか・復元を依頼できるかまで確認すると、切り戻しの相談が具体的になります。UpdraftPlus関連の機能を使っている場合は、運営元の情報漏えいへの対応と利用機能の確認も別途照合してください。
サーバー会社の告知で対象と対応完了を確かめる
サーバー会社の告知は、更新時点・対象のPHP・対象サーバー・利用者に必要な作業をセットで読みます。管理画面の再開と、利用中サーバーへの修正適用は別の項目なので、一方の「再開」だけで対応完了と考えないようにします。
エックスサーバーは10月22日20:10時点の案内を確認
エックスサーバーの公式ニュース(2026年10月22日掲載)では、各種サイト・機能の状況を10月22日20:10時点として案内しています。同告知のPHP対応状況は、次の区分です(2026年10月23日確認)。
| PHPの範囲 | 同告知の対応状況 |
|---|---|
| PHP5.6〜8.5 | 対象全サーバーに修正適用完了 |
| PHP5.5以下 | 修正の作成・検証中 |
同社は公式の修正版と独自の修正を順次適用したと説明し、状況によっては利用者にも追加対策を依頼する場合があるとしています。古いPHPについても、単に「修正版番号がないから未対応」とせず、この対象範囲と自社の契約を照合します。
一方、各種サービスサイトや管理画面は順次再開しているものの、一部の機能は引き続きメンテナンス中と記載されています。自社で利用する機能の再開状況と、新しい追加案内の有無は、同じ公式ニュースで確かめましょう。
出典:エックスサーバー公式「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」
メモ告知の対象を自社のサイトへ当てはめる
告知を保存する際は、確認した日時・対象ドメイン・サーバー情報・使用中のPHPを一緒に残します。他社サービスについては、各社の公式告知を確かめ、エックスサーバーの対応範囲を当てはめないでください。
メンテナンス表示とWAFはPHP更新の代わりになるか
メンテナンス表示のプラグインやWAFを使っていても、PHP本体への今回の修正適用は別に必要です。これらを利用していることだけを理由に、サーバー側への問い合わせや更新確認を終えることはできません。
プラグインの表示より前に問題が起こる経路がある
PHP公式は、Apacheのmod_phpという構成で、アプリケーションのコードが動く前に攻撃を起こせる実証があると説明しています。WordPressのプラグインで「メンテナンス中」と表示しても、その前段階にあるPHP本体の処理を直すことにはなりません。
このため、メンテナンス画面へ変えただけでサイトを保護できたとは考えないことが大切です。更新までの間に公開をどう扱うかは、WordPress内部の表示切替で済ませず、サーバー側の対策も含めて管理担当者と判断します。
警告設定例をそのまま本番へ貼り付けない
PHP公式には更新までの一時的な対策もありますが、特定の攻撃経路を減らすもので、安全を保証するものではありません。自社の構成が分からない状態で設定を変更せず、サーバー会社へ適用可能な措置を確認します。
WAFによる保護も修正適用と組み合わせる
WAFはWebへの通信を検査して不審なアクセスを防ぐ仕組みです。Cloudflareは今回のphp2shell向け保護を展開していますが、同時にWAFの保護を有効にしたまま、PHPへ提供元の更新を適用するよう推奨しています。
したがって、WAFがあることとPHPの修正済み確認は、組み合わせて進める対策です。サーバー会社のWAFを使っている場合も、別サービスの告知を根拠に「自社でも防げている」とは判断できません。
出典:Cloudflare公式ブログ「Cloudflare deploys protections against php2shell vulnerability」(2026年10月21日)(英語)
当面の保護を確認
PHP側の修正を確認
今回の確認が済んだ後も、WordPressやプラグインの更新はそれぞれの問題に対する保守として継続します。普段の作業との分担を見直すときは、ホームページの基本的なセキュリティ対策と合わせて確認すると整理しやすくなります。
制作会社・保守会社への問い合わせ文例
制作会社へは、対象サイトと今回のCVE番号を添え、現在値・修正適用・残る作業をまとめて質問します。「安全ですか」とだけ尋ねるよりも、何を確認した報告なのかが分かる文面にしておくと、社内でも状況を共有しやすいでしょう。
現在のPHPと修正状況を確認する依頼文
最初の連絡では対象サイトのURL、分かる範囲のサーバー会社名、確認できたPHP番号を記入します。分からない欄は「不明」とし、ログイン情報をメール本文へ貼り付ける必要はありません。
文例制作会社への初回の確認
件名:会社サイトのPHP脆弱性対応状況の確認
いつもお世話になっております。弊社の会社サイトについて、2026年10月21日公表のPHPの脆弱性(CVE-2026-109618・CVE-2026-109619、通称php2shell)への対応状況を確認したく、ご連絡しました。
対象サイト:【自社サイトのURL】
サーバー会社:【会社名／不明】
確認できたPHPバージョン:【番号／不明】
現在このサイトで動いているPHPのバージョンと、今回の2件への修正が適用済みかをお知らせいただけますでしょうか。サーバー会社の独自修正が適用されている場合は、その確認根拠も共有いただけますと幸いです。
対応が残っている場合は、実施する作業、予定、弊社側で判断・準備する事項をご案内ください。旧版からの切り替えが必要な場合は、バックアップと事前の動作確認を含めてご相談させてください。
「対応済み」の返信で確認したい報告内容
対応済みと返事があったら、どのサイトに、何の修正を、いつ適用したのかが分かるかを確認します。PHPの修正とサイトの動作確認は報告を分け、まだ確かめていない項目があれば、その予定も残します。
文例完了報告への返信
ご対応ありがとうございます。社内記録のため、対象サイト、適用したPHPのバージョンまたは修正内容、適用完了日時をご共有いただけますでしょうか。
あわせて、表示・管理画面・問い合わせフォームなど、確認済みの機能と未確認の機能をお知らせください。古いPHPを引き続き使う場合は、今後の系統変更について、検証方法と進め方をご相談できれば幸いです。
このとき、フォーム送信や予約・購入の確認を、関係者へ知らせず本番で行わないよう、担当会社とテストの範囲を決めます。作業担当と受信担当が分かれている場合は、テスト日時や識別用の文言まで共有すると、実際の問い合わせとの混同を避けやすくなります。
誰がPHPを管理しているか分からない場合
保守契約があっても、記事更新・WordPress更新・サーバー設定の管理は契約によって分担が異なります。まず現在の制作会社へ窓口を聞き、担当外ならサーバー契約者の確認へつなげましょう。
文例管理担当の確認
弊社の会社サイトについて、PHPの更新と今回の脆弱性対応を担当する窓口を確認したく、ご連絡しました。
現在の契約にサーバー側のPHP更新、バックアップ、変更前後の動作確認が含まれるかをご教示ください。貴社のご担当外の場合は、弊社側で確認する契約先や、必要な情報をご案内いただけますでしょうか。
契約内容を確認する際は、ホームページ保守会社へ頼める作業と契約範囲も合わせて整理できます。ノーサイドでもHPの保守管理を支援していますので、担当や確認事項を整理しきれない場合は、対象URLと現在分かっている状況を添えてご相談ください。
PHPとWordPressの脆弱性対応でよくある質問
QWordPressを自動更新していれば、今回のPHP脆弱性も直りますか？
AWordPressの自動更新だけでは、今回のPHP本体の脆弱性は直りません。サーバーで動くPHPへの修正適用を、サーバー会社または保守会社へ確認します。
QWordPressでPHPのバージョンはどこから確認できますか？
AWordPressのPHPバージョンは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。表示された番号は末尾まで記録し、対象サイトのURLと一緒に担当会社へ渡します。
Q今回のPHPの修正版はどの番号ですか？
A今回のPHP公式の修正版は、2026年10月21日公開の8.5.12・8.4.27・8.3.36・8.2.35です。契約先が独自修正を提供している場合もあるため、対象CVEへの適用状況を告知と合わせて照合します。
QPHP8.1以前には修正が一切ないのでしょうか？
APHP8.1以前は公式の通常更新版が出ませんが、今回はPHP7.4・8.0・8.1向けに最小限のソース修正が公開されています。サーバー会社の独自対応もあるため、利用者は契約先の修正状況と移行方針を確認します。
QWordPressをメンテナンス表示にすれば攻撃を防げますか？
AWordPressをメンテナンス表示にするだけでは、今回のPHP脆弱性への対策になりません。PHP公式にはアプリケーションのコードより前に攻撃できる構成の実証があるため、PHP本体への修正が必要です。
QWAFを使っているならPHPを更新しなくてもよいですか？
AWAFを使っていてもPHP本体の修正は必要です。Cloudflareも、WAFの保護を維持しながらPHPへ提供元の更新を適用するよう推奨しています。
Qphp2shellは8月のwp2shellと同じ問題ですか？
Aphp2shellは今回のPHP本体の脆弱性を指し、8月のWordPress本体のwp2shellとは別の問題です。過去のWordPress更新記録だけで完了扱いにせず、今回のCVE番号に対するPHP側の修正を確認します。
現在の番号を控えて担当会社へ確認する
PHPの脆弱性対応とは、サーバーで動くPHPへの修正適用を確認し、必要な変更を動作確認とともに進める作業です。まずは現在の番号を控え、上の文例で担当会社へ問い合わせるところから着手できます。
- 対象サイトとPHPの番号を控えた。
- 今回のCVEに対する修正適用を担当会社へ確かめた。
- 旧版の利用が続く場合は、切り替え前の検証と移行方針を相談した。
- 完了報告と残る作業を記録した。