WordPressのサイトは大丈夫？PHPの脆弱性は「WordPressの更新」では直りません

前回の記事では、PHPの重大な脆弱性（CVE-2026-109618・109619）の概要をお伝えしました。今回は、いちばん問い合わせが多くなりそうな「WordPressのサイトはどうなのか」を整理します。

今回の問題はWordPressではなくPHPにある

WordPressは、PHPというプログラム言語の上で動いています。今回の脆弱性はそのPHP本体にあるため、WordPressの更新ボタンを押しても解決しません。海外の報道では、WordPress.orgも「WordPress側のアップデートは不要・予定なし」と説明していると伝えられています。

つまり、次のような状態の方は注意が必要です。

• 「WordPressは自動更新にしているから大丈夫」と思っている
• プラグインは更新しているが、PHPのバージョンは見たことがない
• 制作会社が作ったきり、サーバーの管理者が誰か分からない

WordPressの自動更新は、PHPのバージョンまでは上げてくれません。セキュリティ会社のWordfenceも、通常の自動更新ではPHPの修正が入らない可能性があると注意しているとのことです。

確認する場所

多くのレンタルサーバーでは、管理画面の「PHPバージョン設定」といった項目に現在のバージョンが表示されています。WordPressの管理画面では、「ツール」→「サイトヘルス」→「情報」→「サーバー」でも確認できます。

修正版は、PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35です。これより古い8.2〜8.5系、あるいは7系・8.0・8.1を使っている場合は、制作会社やサーバー会社に更新の可否を確認してください。

更新できないときの暫定策

PHPの公式アドバイザリには、すぐに更新できない場合の緩和策も書かれています。一例として、CVE-2026-109619については session.upload_progress.enabled = 0 を設定してPHPを再起動する方法が挙げられています。

ただし、これはあくまで暫定策であり、完全な解決は修正版への更新だけとされています。また、設定の変更はサーバーの知識が必要です。ご自身で行わず、制作会社かサーバー会社に依頼することをおすすめします。

更新するときの注意

PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。更新の前にバックアップを取り、できればテスト環境で表示や問い合わせフォームの動作を確認してから本番に反映するのが理想です。

「更新し続ける」負担を、一度考えてみてください

ここからは私の考えです。WordPressは便利な仕組みですが、本体・テーマ・プラグイン・PHP・サーバーと、更新し続ける対象が多くあります。今回のように、自分たちの手の届かない層で問題が起きると、小さな会社や医院では対応が追いつかないことも珍しくありません。

私は歯科医院や建築関連の会社のお手伝いをするなかで、「ホームページの更新は年に数回だけ」という運用を多く見てきました。そうしたサイトにとって、毎回の更新リスクを背負うWordPressは本当に最適なのか。これについては、数回後の記事で改めて考えます。

前回の記事：PHPの重大な脆弱性とは？ホームページ運営者が今日確認すること

ご自身のサイトの状況が分からないときは、お問い合わせからご相談ください。

参考にした情報

• Codeable「PHP Security Release on 21 October 2026」
• Search Engine Journal「Critical PHP Core Vulnerabilities Affect Websites, Including WordPress」
• piyolog「PHPの2件の深刻な脆弱性についてまとめてみた」