PHPの脆弱性とは？ホームページ運用で知っておきたいリスクと対策

「PHPに重大な脆弱性が見つかったと聞いたけど、自社のホームページは大丈夫？」
「ホームページを見たパソコンやスマートフォンにも影響があるの？」

2026年10月、PHPに重大な脆弱性が確認され、弊社にもホームページへの影響についてお問い合わせをいただきました。

PHPはWordPressをはじめ、多くのホームページで使用されているプログラミング言語です。そのため、「PHPに脆弱性がある」と聞くと、ホームページだけでなく、自分のパソコンやスマートフォンまで危険なのではないかと不安になる方も少なくありません。

この記事では、PHPとは何か、今回確認された脆弱性によって何に影響が出るのか、パソコンやスマートフォンは大丈夫なのか、企業がどのような対応をすべきなのかをわかりやすく解説します。

PHPとは？

PHPとは、主にWebサイトを動かすために使われているプログラミング言語です。

たとえば、WordPressではPHPを使って、

• ページの内容を表示する
• お問い合わせフォームを処理する
• 管理画面を動かす
• データベースから情報を取得する
• ユーザーの操作に応じてページを生成する

といった処理を行っています。

簡単に言えば、ホームページの裏側で動いている仕組みの一つです。

HTMLやCSSが訪問者のブラウザに表示される部分を担当するのに対し、PHPは主にWebサーバー上で処理されます。

そのため、WordPressを利用している企業サイトでは、WordPress本体だけでなく、サーバー上で使用しているPHPのバージョンも重要になります。

2026年10月にPHPの重大な脆弱性が発覚

2026年10月21日、PHP公式から重大なセキュリティアップデートが公開されました。

今回確認されたのは、

• CVE-2026-109618
• CVE-2026-109619

という2件の脆弱性です。

PHP公式では、いずれも認証を行っていない第三者によるリモートコード実行（RCE）につながる可能性がある重大な脆弱性として案内しています。

リモートコード実行とは、簡単に言えば、攻撃者がインターネット経由でサーバー上に不正な処理を実行できる可能性がある状態です。

今回の問題に対応したPHPとして、以下のバージョンが公開されています。

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

PHP公式は、Webリクエストを処理しているPHP環境について、速やかなアップデートを推奨しています。

PHPの脆弱性があると何に影響する？

今回のようなPHPの脆弱性で直接影響を受けるのは、基本的にはPHPが動いているWebサーバー側です。

攻撃が成功した場合には、状況によって次のような被害につながる可能性があります。

• ホームページを改ざんされる
• 不正なファイルを設置される
• サーバー内の情報を盗まれる
• 別のWebサイトへ勝手に転送される
• マルウェアやフィッシングサイトの踏み台にされる
• ホームページが正常に表示されなくなる

特に、お問い合わせフォームや会員情報などを扱っているWebサイトでは、個人情報や企業情報への影響にも注意が必要です。

自分のパソコンやスマートフォンも危険なの？

今回、お問い合わせの中でも特に多かったのがこの質問です。

結論から言うと、PHPの脆弱性があるからといって、サイトを見ているパソコンやスマートフォンそのものが直接PHPの脆弱性の対象になるわけではありません。

PHPは基本的にホームページを公開しているサーバー側で動作するプログラムだからです。

たとえば、

「自社のホームページで古いPHPを使っていた」

というだけで、社員のパソコンやお客様のスマートフォンにPHPの脆弱性が発生するわけではありません。

ただし、注意が必要なのは間接的な被害です。

もし脆弱性を悪用されてWebサイトが乗っ取られた場合、

• 悪意のあるページへ転送される
• 偽のログイン画面を表示される
• 不正なファイルを配布される
• フィッシングサイトとして利用される

といった状態になる可能性があります。

そのため、「パソコンやスマートフォンには直接関係ないから放置してよい」ということではありません。

ホームページを安全な状態に保つことが、結果的に訪問者を守ることにもつながります。

WordPressを更新していれば大丈夫？

ここも誤解されやすいポイントです。

WordPressを最新版にしていても、PHPが古いままというケースがあります。

ホームページは、

• WordPress本体
• テーマ
• プラグイン
• PHP
• データベース

Webサーバーなど、複数の仕組みが組み合わさって動いています。

そのため、WordPress本体やプラグインだけ更新していても、サーバー側のPHPが古ければ別のセキュリティリスクが残ります。

WordPressとPHPは別々に確認する必要があるということを覚えておきましょう。

PHPのバージョンはどうやって確認する？

WordPressを利用している場合は、管理画面から確認できます。

「ツール」→「サイトヘルス」→「情報」→「サーバー」

などから、現在利用しているPHPバージョンを確認できます。

また、エックスサーバーやさくらインターネットなどのレンタルサーバーでは、サーバー管理画面からPHPのバージョンを確認・変更できます。

ただし、PHPのバージョンを確認して、すぐに最新版へ変更すればよいとは限りません。

PHPを更新するときの注意点

PHPを新しいバージョンにすると、古いテーマやプラグイン、独自に開発されたシステムが対応しておらず、ホームページに不具合が発生することがあります。

たとえば、

• ページが真っ白になる
• レイアウトが崩れる
• 管理画面に入れなくなる
• お問い合わせフォームが動かなくなる
• 独自機能が動作しなくなる

といったケースがあります。

そのため、PHPを変更するときは、

1. 現在のPHPバージョンを確認する
2. ホームページのバックアップを取得する
3. WordPress・テーマ・プラグインとの互換性を確認する
4. 可能であれば検証環境でPHPを更新する
5. 問題がなければ本番環境を更新する
6. 更新後にサイト全体の動作確認を行う

という流れで進めることが重要です。

セキュリティ対策だからといって、確認せずPHPだけを変更するのはおすすめできません。

PHPだけでなくホームページ全体を確認することが大切

今回のような脆弱性が発表された際には、PHPだけを確認するのではなく、ホームページ全体のセキュリティ状況を見直す良い機会でもあります。

確認しておきたいポイントとしては、

• WordPress本体が最新版になっているか
• プラグイン・テーマが更新されているか
• PHPがサポートされているバージョンか
• 定期的にバックアップを取得しているか
• SSL（https）に対応しているか
• 不要なプラグインが残っていないか
• 管理者パスワードが適切に設定されているか

などがあります。

ホームページのセキュリティは、一つの対策だけで守るものではありません。

WordPress・PHP・サーバー・バックアップなどを総合的に管理することが重要です。

自社で判断できない場合は無理に変更しない

PHPのバージョンアップ自体は、レンタルサーバーの管理画面から数クリックで変更できる場合があります。

しかし、簡単に変更できることと、安全に変更できることは別です。

特に、

• 数年以上更新していないホームページ
• オリジナルテーマを使用している
• 古いプラグインを使用している
• 制作会社がすでになくなっている
• PHPを変更して問題ないかわからない
• バックアップの取り方がわからない

といった場合には、自己判断で変更する前に制作会社やWebサイトの保守会社へ相談することをおすすめします。

まとめ｜PHPもホームページを守る重要な要素

PHPは、WordPressをはじめとする多くのホームページを裏側で動かしている重要な仕組みです。

今回のようなPHPの脆弱性が発見された場合、直接影響を受けるのは基本的にPHPが動作しているWebサーバーであり、パソコンやスマートフォンそのものにPHPの脆弱性が発生するわけではありません。

ただし、ホームページが乗っ取られたり改ざんされたりすれば、訪問者が不正サイトへ誘導されるなど、間接的な被害につながる可能性があります。

そのため、

•  PHPのバージョンを確認する
• 修正版への更新を検討する
• 更新前にバックアップを取得する
• テーマやプラグインとの互換性を確認する
• 更新後にサイトの動作確認を行う

ことが重要です。

ホームページは公開して終わりではなく、WordPressやPHPを含めて定期的に保守・管理することで、安全な状態を維持できます。

自社サイトのPHPバージョンやセキュリティ状況がわからない場合は、無理に設定を変更せず、専門家へ相談しながら確認することをおすすめします。