WordPressは危険なのか｜2026年10月のPHPの脆弱性で起きたことと、古いまま狙われる理由

2026年10月24日

WordPressが危なくなるのは、本体よりもWordPressを動かしている部品が古くなったときです。部品とは、プラグインとテーマ、それにサーバーの上で動く PHP というプログラムのことです。

部品は更新すれば守れます。ところが更新するとサイトが動かなくなることがあるので、つい先送りにされます。こうして古いまま動いているサイトが狙われます。

この記事では、2026年10月に起きた PHP の重大な脆弱性をたどりながら、WordPress が危なくなる理由を書きます。

2026年10月、PHPの重大な脆弱性でサイトの表示が止まった

2026年10月21日、PHP の開発元が、重大な弱点2つ（CVE-2026-109618／CVE-2026-109619）を直した版を公開しました。ログインしなくても外からサーバーの上でプログラムを動かされてしまうおそれのある弱点です。アメリカのサイバーセキュリティの機関（CISA）は同じ日に、すぐ修正版へ更新するよう呼びかけました。更新できないものはインターネットから外すようにも求めています。

修正の公開より先に、情報が出回った

ふつう、こうした弱点は、修正版を配る日まで関係者のあいだだけで伏せておきます。今回はその途中で情報が外に出てしまい、予定を1日早めて公開することになりました。

PHP の開発を支える団体（PHP Foundation）の説明と、Amazon の発表をもとに、日本時間でたどると次のとおりです。

10月17日（公開の4日前）Amazon のおとり用のサーバーが、この弱点を狙ったとみられる攻撃を記録。どうやって情報を得たのかは分かっていない
10月21日 0時頃漏れた2つの弱点の番号（CVE）が、ネットの掲示板やSNSに出回る。間違った公開時刻と、実際より高い危険度の点数がついていた。技術的な中身は漏れていない
10月21日 4時半PHP が、公開を1日早めて10月21日23時（日本時間）にすると予告。もとの予定は10月22日だった
10月21日 5時頃漏れた弱点を見つけた会社のひとつが、攻撃が成功する様子の動画を誤って公開。すぐ消したが、写しがSNSで広まり、攻撃の道具づくりを早めた
10月21日 16時41分先に出た修正を前もって受け取っていた配布元のひとつが、取り決めより6時間以上早く、修正入りの版を公開。修正の中身から、弱点を読み取れる状態になった
10月21日夜PHP が修正版（8.5.12／8.4.27／8.3.36／8.2.35）と、弱点の詳細を公開

PHP Foundation は、公開の時点で実際に動く攻撃の道具は見つけていなかったと書いています。それでも、番号と動画が先に広まったことで、世界中が修正版を待つあいだに攻撃の準備が進む形になりました。

レンタルサーバーは、サイトを止めて修正を当てた

国内のレンタルサーバーも対応に追われました。ロリポップ！の報告から時刻を追うと次のとおりです。

10月21日午前PHPの開発元から、修正版を同日23時に公開するとの予告。調査と準備を始める
10月21日 13時30分頃データベースの管理画面、FTPなどを止める
10月21日 22時30分過ぎ開発元が予定より早く、修正版と弱点の詳細を公開
10月22日 3時9分頃一部のサーバーで、お客さまのサイトの表示を止める
10月22日未明〜午前すべての版の PHP に修正を作って当てる。公式の修正が無い古い版（5.3〜7.3）には、自社で修正を作った
10月22日 13時頃サイトの表示を再開

止まっていたのは約10時間です。同じサーバーにあれば、PHP を使っていないサイトも表示できなかったと書かれています。報告の最後では、利用者に、PHP を 8.2 以降へ切り替えること、WordPress の本体・プラグイン・テーマが最新か確かめることを求めています。

WordPressが危険になる理由

弱点の91%はプラグインから見つかっている

WordPress の弱点を集めて調べている Patchstack の報告では、2025年に見つかった WordPress まわりの弱点は11,334件で、前の年より42%増えました。そのうち91%がプラグイン、9%がテーマで、本体は6件（どれも危険度は低い）でした。

同じ報告では、46%の弱点は、公表された時点で開発元の修正が出ていませんでした。よく狙われた弱点は、公表から最初の攻撃までの時間の目安が5時間です。プラグインを入れるほど入口が増え、気づいたときにはもう狙われていることもあります。

PHPの版にも、守ってもらえる期限がある

PHP は版ごとに、弱点を直してもらえる期限が決まっています。期限を過ぎた版は、今回のような弱点が見つかっても、公式の修正が出ないことがあります。

PHPの版	弱点の修正が出る期限
8.5	2029年12月31日
8.4	2028年12月31日
8.3	2027年12月31日
8.2	2026年12月31日（あと2か月ほど）
8.1 以前	期限切れ

WordPress の公式は、PHP 8.3 以上をすすめています。ロリポップ！が古い版に自社で修正を作ったのは、期限切れの版を使っているサイトがまだ多いからです。

版を上げると、サイトが動かなくなることがある

それなら PHP やプラグインを新しくすればよいのですが、ここに落とし穴があります。WordPress の公式の案内にも、テーマやプラグインが新しい版の PHP で動くかは分からないと書かれています。先に試し、バックアップを取ってから上げるように、という案内です。

WordPressのサイトが古いまま残りやすい理由。作ったあとに面倒を見る人がいないと、この輪から抜けられません。

実際に、私たちが埼玉県内のお店や会社のホームページ548件を1件ずつ開いて調べたところ、WordPress の版の番号まで書かれていた70件のうち22件が、2022年5月に出た 6.0 より前の系統のままでした。調べ方と全体の結果は埼玉の548件の調査に書いています。

WordPressをやめたいとき、選べる道

選べる道は大きく分けて次のとおりです。どれが合うかは、サイトに何があるかで決まります。

道	向いているサイト／やること
	静的サイトに乗り換える会社やお店の紹介が中心で、更新が月に数回までのサイト。プラグインも PHP も無くなるので、更新の面倒を見続ける必要がなくなる
	WordPressのまま、更新を続けるお店の人が管理画面から毎週のように書くサイト。PHP・本体・プラグインの更新と、上げる前の試しを、だれがいつやるかを決める
	WordPressのまま、守りを固めるネットショップ・会員ログイン・予約の管理があるサイト。プラグインを減らす、ログインを固くする、バックアップを取る