自分のWordPressで動いているPHPのバージョンは、管理画面の「ツール」→「サイトヘルス」→「情報」タブ、「サーバー」の欄で確認できます。番号を確認したら、その番号が今サポートされているか、直近の修正が入っているかまで合わせて見てください。番号を見ただけで終わらせないことが、今回の話のポイントです。
2026年10月、PHP（WordPressを動かしている基盤のプログラム言語）で重大な脆弱性（セキュリティ上の弱点）が2件見つかりました。WordPressを使っているなら、人ごとではありません。順に確認していきます。
何が起きたのか
PHPの開発チームは、2026年10月21日に2件の脆弱性を公表し、同時に修正版を公開しました。CVE-2026-109618とCVE-2026-109619という2件で、どちらも深刻度は10点満点中9.2（重大）です。ログインしていない外部の人が、サーバー上で任意のプログラムを実行できるおそれがある、というものです。
公式の発表では、PHP-FPM、Apacheのmod_php、php-cgiなど、Webのリクエストを処理するほぼすべての動かし方が対象とされています。中でもmod_phpは危険度が特に高いとされていますが、それ以外だから安全というわけではありません。
修正版は次の4つです。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
使っている系列の、この番号以降であれば今回の修正は入っています。WordPress自体はこの脆弱性の原因ではないため、WordPress本体を更新しても今回の問題は解決しません。
1. 自分のPHPの番号を確認する
WordPressの管理画面にログインし、「ツール」→「サイトヘルス」→「情報」タブを開きます。「サーバー」という項目を開くと、PHPのバージョン番号が表示されます。
サイトを複数持っている場合は、それぞれで確認します。サーバー会社の管理画面でもPHPの設定は見られますが、サイトヘルスはWordPressの中の画面なので、サーバー会社の管理画面とは別に、こちらからも確認できます。
2. その番号が修正済みかを確認する
番号が分かったら、使っている系列の修正版(8.5.12、8.4.27、8.3.36、8.2.35)と比べます。同じ番号か、それより新しければ、今回の2件は修正済みです。
これより古い番号なら、契約しているサーバー会社のお知らせやメンテナンス情報を確認します。見るのは、今回の修正をいつ、どの系列に入れたか、そして利用者側に作業が必要かどうかの2点です。
ここで注意したいのは、サーバー会社によっては、系列の番号を変えずに修正の内容だけを取り込むことがある、という点です。この場合、表示上の番号だけでは判断できません。番号とお知らせを両方確認するか、サーバー会社に「今回の2件の修正は入っていますか」と直接問い合わせるのが確実です。
たとえば、エックスサーバーの公式マニュアルでは、サーバーパネルにログインし、「PHP Ver.切替」を選び、対象のドメインの右にあるペンのアイコンを押すと、現在のバージョンと変更後のバージョンを選ぶ画面が出る、という手順が案内されています。バージョンを選んで「設定する」を押すと切り替わります。契約しているサーバー会社の管理画面でも、同じようにPHPの系列を切り替える画面が用意されていることが多いので、操作名は各社のマニュアルで確認してください。
3. 8.1以前（サポート終了版）を使っているときの判断
PHPは、最初のリリースから2年間は通常のサポート、その後2年間はセキュリティ修正のみの対応、合計4年でサポートが終了する方針です。2026年11月時点では、8.2と8.3がセキュリティ修正のみの期間、8.4と8.5が通常サポート中です。8.1より前（7.4、8.0、8.1など）は、この方針による公式サポートがすでに終了しています。
2026年11月時点のPHPサポート状況
| 系列 | サポート状況 | セキュリティ終了予定 |
|---|---|---|
| PHP 8.2 | セキュリティ修正のみ | 2026年12月31日 |
| PHP 8.3 | セキュリティ修正のみ | 2027年12月31日 |
| PHP 8.4 | 通常サポート中 | 2028年12月31日 |
| PHP 8.5 | 通常サポート中 | 2029年12月31日 |
今回は深刻さを理由に、サポートが終了した系列向けにも最小限の修正が例外的に用意されましたが、次に重大な問題が見つかったときに同じ対応がある保証はありません。古い系列を使っているなら、サポート中の系列（8.3以上）へ移す段取りを進めてください。8.2も2026年12月31日にセキュリティサポートが終了する予定なので、それまでに移行の計画を立てておくと安心です。WordPress.org の推奨環境では、PHP 8.3以上が推奨バージョンとされています。
更新する前に確認しておくこと
PHPのバージョンを切り替える操作自体は、管理画面のボタンひとつで済むことが多いですが、何年も手を入れていないサイトでは、切り替えた瞬間に画面が真っ白になることがあります。更新の前に、次を確認してください。
- サイトのファイルとデータベースをバックアップし、元に戻す手順も確認しておく
- サイトを作った制作者や管理者に、テーマやプラグインが新しいPHPで動くか確認してもらう
- できれば、本番とは別の検証用の環境で先に試す
- 切り替えたあと、表示、管理画面、問い合わせフォームの送信、会員や購入の機能まで確認する
自分で作っていないサイトであれば、この確認を含めて制作者にそのまま依頼すれば大丈夫です。
使っていないサイトも一緒に確認する
契約しているサーバーの中に、引っ越す前の古いコピーや、試しに作ったテスト用のサイトが残っていないかも、このタイミングで確認してください。ドメインは別の場所を向いているのに、古いバージョンのWordPressが中身だけ残っている、というケースはよくあります。
同じ契約の中にある他のサイトとファイルを共有している構成だと、使っていない古いサイトへの侵入が、公開中の本番サイトに及ぶおそれもあります。使っていないサイトは、バックアップを別の場所に保存してから削除するか、外部からアクセスできないよう制限しておきます。
まとめ
自分のサイトのPHPバージョンは、WordPressのサイトヘルスで確認できます。番号を確認したら、それが今回の修正を含むかをサーバー会社のお知らせと合わせて確認し、8.1以前を使っているならサポート中の系列への移行を計画してください。更新そのものは難しくありませんが、バックアップと事前確認を省かないことが、サイトを止めないための一番の近道です。
サイト全体の健康状態を定期的に見直したい方は、Webマーケティング健康診断も参考にしてください。サーバー側の仕様変更で見落としがちな設定という点では、Gmailの受信設定見直しの記事も似た種類の確認作業です。
よくある質問
自分のサイトのPHPバージョンはどこで確認しますか。
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の欄を見ます。そこにPHPのバージョン番号が表示されます。
PHP本体は自分で更新できますか。
共用のレンタルサーバーでは、PHP本体を用意しているのはサーバー会社です。利用者は管理画面で使う系列（8.3など）を選べますが、その中の細かい修正を取り込む作業自体はサーバー会社が行います。
系列が8.3と表示されていれば安全ですか。
系列の後ろの細かい番号（8.3.36など）まで確認する必要があります。サーバー会社によっては番号を変えずに修正だけ取り込むことがあるため、番号と合わせてお知らせも確認してください。
古いPHP（7.4や8.1など）を使い続けるとどうなりますか。
公式サポートはすでに終了しています。今回は例外的に最小限の修正が用意されましたが、次に重大な問題が見つかったとき、同じ対応がある保証はありません。サポート中の系列（8.3以上）への移行を進めてください。
PHPを更新すると、サイトが表示されなくなることはありますか。
あります。古いテーマやプラグインが新しいPHPに対応していないと、画面が真っ白になることがあります。更新前にバックアップを取り、できれば検証用の環境で先に確認してください。
