PHPの脆弱性「php2shell」でWordPressの会社サイトは何をする？非エンジニアの社長が確認したこと

2026年10月21日、PHPに重大な脆弱性が見つかったというニュースが出ました。

うちの会社のホームページはWordPressで動いています。そして、そのPHPは公式のサポートが終わった古い版のままでした。

私はエンジニアではありません。社内にもいません。この記事は、そういう会社の社長が、ニュースが出てから数日で確認したことと、やったことの記録です。

先に答えを書きます

確認したことを、順番に表にしました。

確認すること	見る場所	うちの場合
サーバー会社がどう対応するか	契約しているサーバー会社のお知らせ	全バージョンに修正を入れるので、利用者の作業は不要とのことでした
自分のサイトのPHPのバージョン	WordPressの「ツール」→「サイトヘルス」→「情報」、またはサーバー会社の管理画面	8.1（公式サポートが終わった版）でした
古いPHPのせいで止まっている更新	プラグインの一覧と更新の案内	お問い合わせフォームのプラグインが、ずっと更新できずにいました
切り替える前の備え	バックアップと、元に戻す画面	バックアップを取り、同じ画面で戻せることを確かめてから切り替えました
サイトの点検	ユーザー一覧、プラグイン、サーバー上のファイル	改ざんはなく、管理者は1人だけでした

ニュースへの直接の対応は、サーバー会社がしてくれました。私の側でやったのは、古いままにしていたものを片付けることでした。

そもそもPHPとは

PHPは、ホームページを裏側で動かしているプログラムの名前です。WordPressもPHPで書かれています。

訪問者がページを開くたびに、サーバーの上でPHPが動いて、画面を組み立てています。普段は意識することがありません。

そのPHPそのものに穴（脆弱性）が見つかった、というのが今回のニュースでした。

10月21日、何が公表されたか

公表されたのは、CVE-2026-109618と109619という2つの脆弱性です。通称は「php2shell」と呼ばれています。

修正版として出たのは、8.5.12、8.4.27、8.3.36、8.2.35です。

そして8.1以前は、PHPの公式サポートの対象外です。修正版の一覧に入っていません。

うちのホームページは、レンタルサーバーのConoHa WINGで動いていて、PHPは8.1のままでした。つまり、公式の修正版が出ない版を使っていたことになります。

サーバー会社のお知らせを追った

ConoHaは、10月21日19時から22日10時まで緊急メンテナンスをしました。

22日には「【重要】PHPの脆弱性への弊社対応について」というお知らせが出ました。中身は、今使っているPHPのバージョンを維持したまま、ConoHa側でセキュリティパッチを適用する、それを順次進めている、というものでした。

ファイルマネージャーとWebメールは、予防のために一時停止になりました。サイトの表示とメールの送受信は通常どおりでした。

気になったのは、このお知らせに8.1が対象かどうかの記載がなかったことです。うちが使っている版が含まれるのか、ここでは分かりませんでした。

同じ22日の20時45分に、終報の「対応完了のお知らせ」が出ました。

そこには、提供中のすべてのPHPバージョンにセキュリティパッチを適用した、お客様自身でPHPバージョンの変更等をしていただく必要はない、とありました。これで8.1も対象だと分かりました。

1つ補足しておきます。この方式は、バージョンの番号を据え置いたまま修正を入れるやり方です。なので、管理画面などの表示は「8.1.34」のまま変わりません。番号が古いままでも、それで正常です。

同じ日に、サイトの点検もした

サーバー会社の対応とは別に、22日にサイトの中も点検しました。

結果はこうでした。

WordPress本体とプラグインのファイルに、改ざんはなかった
不審なPHPファイルは見つからなかった
管理者アカウントは1人だけだった

その上で、いくつか手を入れました。

不要なファイルが1つ残っていた。直接開くとエラーが出て、サーバー内のフォルダの場所が見えてしまう状態だったので、撤去した
XML-RPC（外部からの投稿機能）を無効にした
管理画面からテーマやプラグインのファイルを編集できる機能を、禁止にした
プラグイン4件を更新した（更新前にバックアップを取った）

どれも、今回の脆弱性そのものへの対応ではありません。点検の中で手を入れたものです。

ずっと更新できずにいたもの

点検とは別に、前から気になっていたことがありました。

お問い合わせフォームのプラグインです。最新版が「PHP 8.3以上」を必要としていて、8.1のままでは更新できませんでした。

PHPが古いと、PHPそのものの問題だけでは済まないということです。その上で動くプラグインの更新も止まります。

10月26日、PHPを8.3に切り替えた

サーバー会社の対応で、今回の脆弱性そのものは片付いていました。それでも、止まっていた更新を進めるために、PHPを上げることにしました。

作業の前に、おかしくなったときの逃げ道を確かめました。切り替えに使う画面で元の設定に戻せば、元に戻ります。戻し方が分かってから始める、という順番にしました。

やったことは、この順番です。

バックアップを取った（データベースと、サイトのファイル一式）
ConoHaの管理画面で、このサイトだけPHPを8.1から8.3に切り替えた。サーバー全体の設定ではなく、「ドメインごとの設定」を使った
主要12ページ、お問い合わせフォーム、電話ボタンなどの表示を確認した。問題はなかった
お問い合わせフォームのプラグインを最新版に更新した

あわせて、エラーメッセージが訪問者の画面に出ないように設定しました。エラーの記録は残ります。

作業の多くは、AI（Claude）に手伝ってもらいながら進めました。

自分の会社でも確認できること

ここからは、エンジニアのいない会社でも確認できることを書きます。

① サーバー会社のお知らせを見る

最初に見るのは、契約しているサーバー会社のお知らせです。見るところは2つです。

自分が使っているバージョンが対象に入っているか
利用者の側で作業が必要かどうか

うちの場合、最初のお知らせでは8.1が対象か分からず、終報で分かりました。1回目のお知らせだけで判断せず、続報まで追うのが確実だと思います。

② 自分のサイトのPHPのバージョンを知る

WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」に、サーバーの情報がまとまっています（WordPress公式の説明）。PHPのバージョンもここで見られます。サーバー会社の管理画面でも確認できます。

同じ説明ページによると、サイトヘルスの「ステータス」では、古いPHPを使っていると警告が出ます。

③ 古いPHPのままだと、プラグインの更新が止まる

WordPressの動作環境のページでは、PHP 8.3以上が推奨されています。古い版は、セキュリティ上の問題にさらされる可能性があると書かれています。

PHPの各版のサポート期限は、PHPの公式サイトに一覧があります。今のPHPがまだサポート中かどうかは、ここで分かります。

④ 切り替える前に、バックアップと戻し方

WordPressのセキュリティ強化の公式解説でも、データベースを含めて定期的にバックアップを取るよう書かれています。

切り替えの前には、もう1つ確かめておきたいことがあります。おかしくなったときに、どの画面で、どう戻すかです。

⑤ 点検でできること

同じ公式解説には、次のようなことが書かれています。

使っていないプラグインは削除する
プラグインは常に更新しておく
管理画面からテーマやプラグインのファイルを編集する機能は、設定で止められる（ただし、すべての攻撃を防げるわけではない）
管理者アカウントを乗っ取られると、不正なプログラムを入れられる

ユーザー一覧に、心当たりのない管理者がいないかを見ておくと安心です。

エラーの表示も見ておく価値があります。サイトヘルスの説明では、訪問者の画面にエラーが出る設定だと、見せるべきでない情報が含まれることがある、とされています。

サーバー会社の対応に不安がある場合

先に書いておくと、うちはConoHa WINGから乗り換えていません。今も同じサーバーで動いています。

ただ、次のような場合は、サーバー会社そのものを見直す選択肢もあると思います。

サーバー会社のお知らせが遅い、または出ない
古いプランのままで、PHPを上げられない
自分たちで管理できる人がいない

法人向けのレンタルサーバーに「XServerビジネス」があります。不正なアクセスを防ぐWAFの設定が標準で入っていて、Web改ざん検知もあります。メールアカウントの作成からサーバー移転までの作業を、無料で代行してくれるそうです。稼働率99.99%以上のSLA（品質の保証）も付いています。

法人向けレンタルサーバー「XServerビジネス」を見てみる

まとめ

2026年10月21日、PHPの脆弱性「php2shell」が公表された。修正版は8.5.12／8.4.27／8.3.36／8.2.35で、8.1以前は公式サポートの対象外
うちのサーバー会社は、全バージョンに修正を入れた。利用者の作業は不要で、表示は「8.1.34」のままでも正常だった
最初のお知らせでは8.1が対象か分からず、終報で分かった
点検をして、不要なファイルの撤去などの手入れをした
古いPHPのままだと、プラグインの更新が止まる。うちはお問い合わせフォームがそうだった
戻し方を確かめ、バックアップを取ってから、このサイトだけPHPを8.3に上げた

PHPの脆弱性ニュースで確認したこと｜会社のWordPressは古い8.1のままでした