【速報】PHPに重大な脆弱性2件、CVSS 9.2｜WordPress利用者が今確認すべきこと

【10月21日23時以降の最新情報】 PHP公式からCVE、技術詳細、修正版が正式公開されました。2件とも認証不要RCEにつながるCritical脆弱性で、修正版はPHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12です。確定情報とWordPress利用者の対応は、続報記事にまとめています。

→ 【続報】PHPの重大脆弱性2件が正式公開｜認証不要RCE、対象・修正版・WordPressの対応まとめ

PHPのセキュリティチームが、CVSS v4.0で9.2（Critical）と評価された重大な脆弱性2件を修正するセキュリティリリースを予告しました。公開予定は2026年10月21日14:00 UTC、日本時間では同日23:00です。

この記事は2026年10月21日20時台時点の速報です。PHP公式は現時点で、影響を受けるバージョンや脆弱性の技術詳細、修正版の番号をまだ公開していません。正式な修正版が公開された後、必要に応じて内容を更新します。

先に結論：WordPress利用者全員が自分でPHPを直すわけではない

今回話題になっているのは、現時点ではWordPress本体の脆弱性ではなく、WordPressなどのWebアプリを動かすPHP側の問題です。

そのため、誰が対応するかはサイトの運用方法で変わります。

WordPress.comなどのフルマネージド型：基本的にサービス運営側がPHP基盤を管理
一般的な共有レンタルサーバー：PHP本体の修正はサーバー会社側が行うことが多い。ただし利用者側でPHPバージョンの切り替えが必要になる場合がある
VPS・クラウドVM・自宅サーバー：OSやPHPを自分で管理しているなら、自分で更新対応が必要
Cloudflare PagesなどPHPを実行しない静的サイト：今回のPHP本体の脆弱性を直接受ける構成ではない

つまり、普通のWordPress利用者がいきなりサイトのソースコードを書き換える話ではありません。まずは自分のサイトでPHPを誰が管理しているのかを確認するのが先です。

PHP公式が発表していること

PHP公式は10月20日、異例の形で次のセキュリティリリースを事前予告しました。

Critical評価の脆弱性が2件
どちらもCVSS v4.0で9.2
修正版の公開予定は10月21日14:00 UTC（日本時間23:00）
PHP利用者へ、公開後すぐ更新できるよう準備を呼びかけ
脆弱性の詳細が先に公になった場合や、実際の悪用を確認した場合は前倒し公開する可能性がある
影響バージョン、修正版、詳細はリリース時に公開予定

通常の更新告知と違い、修正版を出す前に「準備しておいて」と公式が警告している点は重要です。

「認証なしRCE」の可能性が警戒されている

PHP公式はまだ技術詳細を出していませんが、CERT-EUはCVE-2026-109618とCVE-2026-109619について、認証なしのリモートコード実行（RCE）につながる可能性を警告しています。

RCEは、条件が成立すると外部からサーバー上でコードを実行される可能性がある脆弱性です。CERT-EUは、修正版をすぐ適用できない場合には、インターネット公開中のアプリケーションを一時的に隔離することまで検討するよう案内しています。

またCERT-EUは、リーク情報をもとにPHP 5以降の広い範囲が影響する可能性にも言及しています。ただし、これは記事公開時点ではPHP公式が確定した影響範囲ではありません。

WordPressサイトは全部危険なのか

「WordPressを使っている = 即座に侵入される」とはまだ言えません。

WordPressはPHPで動作するため確認対象にはなりますが、実際の影響は少なくとも次の条件で変わります。

サーバーで使われているPHPのバージョン
PHPの実行方式やサーバー構成
今回の脆弱性が成立する具体的な条件
ホスティング会社側の緩和策やパッチ適用状況

正式な影響範囲は、PHP公式が修正版を公開してから確認する必要があります。

WordPressの自動更新だけでは別問題

ここは勘違いしやすいポイントです。

WordPress本体やプラグインを最新版にしていても、サーバー側のPHPが自動的に最新版になるとは限りません。WordPressの更新とPHPランタイムの更新は別です。

共有レンタルサーバーなら運営会社がPHPへ修正を適用するケースが多い一方、コントロールパネルで古いPHPバージョンを自分で選択している場合などは、修正版提供後に利用者側の切り替えが必要になる可能性があります。

運用方法別：誰が対応するのか

WordPress.comなどのフルマネージド型

サーバーOSやPHPを利用者が直接管理しないサービスでは、PHP本体の更新は基本的に運営側の領域です。

利用者側では、サービスから重要な案内が出ていないか確認しておけばよく、自分でPHPパッケージを更新するような作業は通常ありません。

共有レンタルサーバー

一般的なレンタルサーバーでは、PHP本体のパッチ適用やサーバー基盤の管理は事業者側が行います。

ただし、契約者がPHP 8.xなどのバージョンを選択できるサービスも多いため、修正版公開後は次の2点を確認します。

サーバー会社のセキュリティ告知
自分のサイトが使用しているPHPバージョン

「運営がパッチを当てたから何もしなくていい」のか、「安全なPHPバージョンへ自分で切り替える必要がある」のかはサービスによって異なります。

VPS・クラウド・自前サーバー

VPSなどへ自分でOS、Webサーバー、PHP、WordPressを入れている場合は話が変わります。

PHPのアップデート、サービス再起動、動作確認まで含めてサーバー管理者自身の対応になります。今回の正式な修正版が公開されたら、利用中のディストリビューションやPHP配布元の案内を確認して更新する必要があります。

一般ユーザーが今できること

正式な修正版がまだ出ていない段階で、むやみに設定を変更する必要はありません。今のうちに確認しておくなら次の内容です。

自分のサイトがWordPress.com、共有レンタルサーバー、VPSのどれか確認する
自分でPHPバージョンを管理する契約か確認する
レンタルサーバーやホスティング会社の障害・セキュリティ情報を確認できるようにする
VPS管理者は現在のPHPバージョンと更新方法を確認する
重要なサイトではバックアップ状況を確認する
修正版公開後、公式情報とホスティング会社の案内を確認して速やかに対応する

SNSなどで攻撃コードや非公式な回避策が急速に出回る可能性もあります。出所不明のコードを本番サーバーへ入れるより、PHP公式・OS配布元・契約中のホスティング会社の案内を優先した方が安全です。

Cloudflare PagesやWorkersはどうなる？

今回の問題はPHPランタイムの脆弱性です。そのため、静的HTMLを配信するCloudflare Pagesだけで構成したサイトや、JavaScript系ランタイムで動くCloudflare Workersは、PHPを実行していない限り今回の脆弱性を直接受ける構成ではありません。

外部APIや別のバックエンドでPHPを使っている場合は、その部分を別途確認する必要があります。

23時以降に確認したいポイント

正式なセキュリティリリースが公開されたら、特に見るべきなのは次の4点です。

影響するPHPバージョン
修正版のバージョン番号
攻撃成立に必要な条件
すでに悪用が確認されているか

もし影響範囲が広く、認証不要で成立するRCEだと正式に確認された場合、国内のレンタルサーバーや各種Webサービスでも緊急メンテナンスやPHP更新の告知が相次ぐ可能性があります。

現時点では危険度を過小評価せず、同時に未公開の技術詳細を確定情報として扱わないことが大切です。

まとめ

PHP公式がCVSS v4.0 9.2のCritical脆弱性2件を事前告知している
修正版は日本時間2026年10月21日23:00に公開予定
影響バージョンや技術詳細は記事公開時点ではPHP公式から未公表
CERT-EUは認証なしRCEの可能性を警告している
WordPress利用者でも、PHPを誰が管理しているかによって対応は違う
フルマネージド型は運営側、VPS・自前サーバーは自分で対応するのが基本
共有レンタルサーバーでは事業者の告知とPHPバージョンを確認する
WordPress本体の自動更新とPHP更新は別物