「PHPに重大な脆弱性が見つかった！」
となんだか世界中が騒いでいるけど、なんのこと？自分に関係あるの？
と思われるに違いありません。
いろいろなニュースが飛び交っている中で、この記事では
WordPressを使っている。でも技術のことはよくわかんない。
という方に向けて、何が起こってて、何をしたらいいのかに絞って整理してみます。
WordPress運営者にとって、できることは少ないのですが、
なんだかいろんな会社のサイトがメンテナンスに入ったりで、
自分のブログやホームページは大丈夫なのか？、と気になった方向けの話です。
WordPressを使っていると、PHPという単語に触れる機会が多々あると思います。
ただそんなこと言われてもよくわからないし、PHPは一切触ったことがない、
という人がほとんどではないでしょうか？
管理画面で、その名前を見かけたことはあるけれど……というくらいでしょうか。
個人でサイトを運営しているなら、そんな感覚も無理はありません。
この記事では、PHPとWordPressの関係から、今回起きている問題、レンタルサーバー各社の対応例、サイト運営者が確認する順番まで、専門用語をほどきながら整理してみました。。
※この記事は2026年10月24日に整理したものです。
各社の対応例は、確認できた10月22～23日の公式告知に基づきます。
対応状況は変わるため、ご契約サービスの最新案内も確認してください。
PHPの重大な脆弱性で、何が問題になったのか
今回の話題でわりと掘り下げていたのが、Yahoo!ニュースに掲載されていた記事でした。
配信記事は掲載終了になることもあるので、元の掲載先も紹介しておきます。
その前に、この記事で言わんとしていることは、非常に根深い問題指摘にあります。
すなわち、「AI vs AI」という戦争の幕開けではないかという指摘がそれにあたります。
AIが脆弱性を見つけ、そこから攻撃することと、
AIが脆弱性を見つけ、そこをパッチ（修正）することがほぼ同時。
ともかくPHP問題が表ざたにならなければ、気がつかなかった視点です。
【AI世界大戦前夜】OpenAIも警告 PHPは序章に過ぎないこれから日本を襲う恐怖の数カ月
出典：ビジネス＋IT、2026年10月23日掲載記事
かなり強い見出しです。ただ、サイト運営者として知りたいのは、
「自分のサイトにどう関係するのか」「何を確かめればよいのか」ということですよね。
PHP開発元は10月21日、ログインしていない第三者に、サーバー上で不正なプログラムを実行される可能性がある2件の脆弱性について、修正版を公開しました。
ここでいう「脆弱性」とは、攻撃に悪用されるおそれのある、ソフトウェアの弱点や欠陥のことです。
今回、問題が見つかったのはWordPressを動かしているPHP本体です。
まずは、その位置関係から確認しましょう。
PHPとWordPress、レンタルサーバーの関係を知る
WordPressを動かしているのがPHP
WordPressは、記事を管理したり、ページを表示したりするソフトウェアです。
そのプログラムをサーバー上で実行するのがPHPです。
「PHP」には、プログラミング言語という意味と、
その言語で書かれたプログラムを動かす実行ソフトという意味があります。
今回、修正が必要になったのは後者です。
店舗にたとえると、次のような関係になります。
| 部品 | 役割 | 店舗にたとえると |
|---|---|---|
| レンタルサーバー | サイトを動かす場所や設備を提供する | 建物・設備 |
| PHP | WordPressの指示を実行する | 厨房の調理機械 |
| WordPress | 記事や画面を管理する | 店舗の運営手順 |
| テーマ | 見た目や表示方法を整える | 内装・陳列 |
| プラグイン | 問い合わせ・予約などの機能を足す | 追加の業務道具 |
| データベース | 記事や設定などを保存する | 台帳 |
なおPHPは、WordPress専用ではありません。
Webサイトの裏側で、入力を受け付けたり、情報を取り出したりするために使われるプログラミング言語です。代表例として、次のような用途があります。
- ネットショップ
商品情報を表示する、商品を買い物かごに入れる、注文を記録する、といった処理に使われます。 - 問い合わせフォームや予約サイト
入力内容を確認する、問い合わせをメールで届ける、空いている予約枠を調べる、といった処理を担います。 - 会員制サイトや社内の業務システム
ログイン情報を確認する、会員ごとに画面を変える、顧客情報や売上データを管理する、といった場面でも使われます。
これらの仕組みがすべてPHP製というわけではありませんが、PHPがよく使われる用途です。
利用者からは見えないところで、Webサイトを動かす仕事をしていると考えるとわかりやすいでしょう。
WordPressの更新とPHPの更新は、別のこと
今回の問題は、このたとえでは「調理機械そのものの欠陥」です。
運営手順や内装を新しくしても、機械の欠陥は直りません。
同じように、WordPress本体やテーマ、プラグインを更新しても、
それだけでPHP本体の修正が済むわけではありません。
WordPress公式も、今回の脆弱性はWordPress固有の問題ではなく、PHPの更新が必要だと説明しています。
参考：WordPress公式「PHPの重大なセキュリティリリース」
今回の脆弱性は、どこに、どんな形で存在していたのか
問題があったのは、PHP内部のメモリ管理
今回の2件は、PHPが外部から届いた要求を処理するときの、メモリ管理に関係しています。
メモリは、コンピューターが作業中の情報を一時的に置く場所です。
机の上の作業スペースを想像するとわかりやすいでしょう。
問題になった2件には、次の識別番号が付いています。
「CVE」は、脆弱性を取り違えないための整理番号です。
番号そのものを理解する必要はありません。
| 識別番号 | 実際の問題 | たとえて説明すると |
|---|---|---|
| CVE-2026-109618 | メモリ不足で内部データの準備が途中で止まると、後片付けの処理が、不完全なデータを正常なものとして扱うことがある | 半分しか書けていない伝票を、完成した伝票として処理してしまう |
| CVE-2026-109619 | 使い終わって解放したメモリに関する内部情報が残り、同じ処理係が後の要求で使ってしまうことがある | 廃棄した台帳の古い参照先を、次の仕事でも使ってしまう |
単に「アクセスが増えてメモリ不足になった」という話ではありません。
異常が起きたときの処理に欠陥があり、攻撃者に悪用される可能性があるという問題です。
参考：PHP開発元の個別資料
CVE-2026-109618の説明
CVE-2026-109619の説明
悪用されると、サイト改ざんや情報の窃取につながり得る
条件がそろうと、攻撃者がログインせずに、サーバー上で不正なプログラムを実行できる可能性があります。
専門用語では「認証不要のリモートコード実行」と呼ばれます。
実行できる範囲はPHPに与えられた権限によりますが、次のような被害につながり得ます。
- サイトの内容を書き換える
- PHPから読み取れる情報を盗む
- 不正なプログラムやファイルを設置する
- 別の攻撃にサイトを悪用する
サーバー全体の管理者権限を必ず奪える、という意味ではありません。
それでも、仕事に使っているサイトなら放置できない問題です。
なお、脆弱性があることと、すでに被害を受けたことは別です。
予防的なメンテナンスでサイトや管理画面が止まった場合も、それだけで侵入されたとは判断できません。
【販売者・アフィリエイター必見！】
infotopが公開しているページでサクッと理解できる
ここではインフォトップが、他によくみられる企業と同様に自社サイトの
メンテナンス作業に入ったときのお知らせページが非常に秀逸でして、
図解も非常にわかりやすいのでご紹介します。
インフォトップで販売している人、インフォトップ商品のアフィリエイターに限らず、
どのようなASPを使っていても、または自社（或いは個人）で類似活動をしている方には参考になると思います。
説明の仕方がとにかくわかりやすい。
ブックマークしておくと良いレベルのページです。
販売者向けにPHP問題の理解と対処法
インフォトップがPHP問題対応のためメンテナンス中は、誰も商品購入できず、
何件かのお問い合わせをいただきました。（現在は完全回復の連絡がきております）
販売者はこういった事態にどう対処すればよいのかを、私がこれまで見てきた中では
もっともわかりやすく解説されているのでご紹介します。
PHPのバージョンの見方まで、事細かに書かれていて、
この方面でこれまでチンプンカンプンだった人でも理解しやすいです。
さきほども述べたようにインフォトップで販売しているかどうかに関係なく、
コンテンツ商品やツール（特にPHPを使っている商品）などの販売者は必見ものです。
👇👇👇
-
-
販売者の方｜PHPの重大な脆弱性に関するご案内｜インフォトップ
infotop-php-guide.fp-tools.workers.dev
アフィリエイター向けにPHP問題の理解と対処法
いわゆる最初の段階で販売者と微妙に「やることリスト」が異なります。
こちらも、どのようなASPを使っていても汎用的に使える内容です。
ありがとう！インフォトップ。と言いたいくらいにまとまっています。
👇👇👇
-
-
アフィリエイターの方｜PHPの重大な脆弱性に関するご案内｜インフォトップ