こんにちは、リョウです。
2026年10月、WordPressサイトを運営している僕にとって、少し気になるニュースが飛び込んできました。
「PHPに深刻なセキュリティ上の脆弱性が発見された」
というものです。
PHPと聞いても、普段WordPressで記事を書いているだけの人には、あまりピンとこないかもしれません。
僕自身、Webサイトの運営には長年携わっていますが、プログラマーではありません。
普段は英語コーチング事業「RYO英会話ジム」を運営しながら、WordPressで複数のメディアを管理しています。
2020年から海外ノマドとして生活しているため、Webサイトは単なる情報発信の場所ではなく、場所に縛られず事業を続けるための大切な基盤でもあります。
だからこそ、今回のニュースは他人事ではありませんでした。
実際に自分のサーバー環境を確認し、必要な対応を調べたので、その一連の流れを共有したいと思います。
2026年10月、PHPに深刻な脆弱性が発見された
2026年10月21日、PHPに関する2件の重大な脆弱性が公表されました。
対象となったのは、以下の問題です。
- CVE-2026-109618
- CVE-2026-109619
どちらも深刻度を示すCVSSスコアは9.2。
簡単にいうと、条件がそろえば、第三者がログインせずにサーバー上で不正なプログラムを実行できる可能性があるというものです。
PHPはWordPressを動かすために必要なプログラミング言語です。
そのため、WordPress本体やプラグインをきちんと更新していても、PHP自体に問題があれば、サイトが危険にさらされる可能性があります。
今回の脆弱性は、WordPressだけに限った問題ではありません。PHPを使用する幅広いWebサイトやアプリケーションに関係しています。
ただし、脆弱性が存在することと、実際にサイトが攻撃されたことは別の話です。
大切なのは、自分が使っている環境が影響を受けるのかを確認すること。
僕も、まずはそこから始めました。
エックスサーバーの推奨PHPを使っていたけど、本当に大丈夫？
僕が運営しているRYO英会話ジムでは、レンタルサーバーにエックスサーバーを利用しています。
PHPについては、基本的にエックスサーバー側で推奨されているバージョンを使う方針でした。
ただ、今回気になったのは次の点です。
「サーバー会社が推奨しているPHPなら、今回の脆弱性も修正されているのだろうか？」
実は、推奨バージョンだからといって、必ずしも最新の脆弱性がすべて修正されているとは限りません。
PHPには「8.3」「8.4」といった大きなバージョンがありますが、それだけで判断できないからです。
例えば、今回の脆弱性では次のような違いがありました。
| PHPバージョン | 今回の脆弱性への対応 |
|---|---|
| 8.3.35 | 未修正 |
| 8.3.36 | 修正済み |
| 8.4.26 | 未修正 |
| 8.4.27 | 修正済み |
| 8.5.11 | 未修正 |
| 8.5.12 | 修正済み |
このように、数字がほんの少し違うだけで、セキュリティの状況が変わります。
ちなみに、PHP 8.4や8.5のほうが新しいからといって、今回の問題に関して無条件に安全というわけではありません。
新しい系列へ切り替えることより、問題が修正されたバージョンを使っていることが重要なのです。
実際に確認したら、PHP 8.3.36を使用していた
そこで、実際にエックスサーバーの管理画面を確認しました。
結果は、
PHP 8.3.36
でした。
これは2026年10月21日に公開された、今回の脆弱性に対応した修正版です。
つまり、確認できたPHPのバージョンに関しては、今回報告された2件の問題が修正されていることになります。
正直、少し安心しました。
もし古いバージョンだった場合、アップデートによってWordPressやプラグインに不具合が発生しないかも確認する必要があったからです。
今回はすでに修正版を利用していたので、慌ててPHPの大きなバージョンを変更する必要はないと判断しました。
もちろん、PHPが修正済みだからといって、Webサイト全体の安全性が保証されたわけではありません。
それでも、自分の環境を確認することで、何を優先すべきかがはっきりしました。
PHPのバージョンはどこで確認できる？
エックスサーバーを利用している場合、基本的には以下の手順で確認できます。
- エックスサーバーのサーバーパネルにログインする
- 「PHP Ver.切替」を開く
- 対象ドメインを選択する
- 現在のPHPバージョンを確認する
WordPressの管理画面でも、「ツール」→「サイトヘルス」→「情報」→「サーバー」から確認できます。
普段ほとんど見ることのない設定かもしれませんが、今回のようなニュースがあったときにはチェックしておきたい場所です。
次の課題はWordPressのプラグインへの対応
PHPのバージョンについてはひとまず確認できましたが、それでセキュリティ対策が終わるわけではありません。
次に考えたのが、WordPressのプラグインです。
WordPressでは、さまざまな機能をプラグインで追加できます。
便利な一方、更新を怠るとセキュリティ上のリスクにつながることもあります。
ただし、僕の場合は単純にすべてを一括更新すればよいとも考えていません。
というのも、RYO英会話ジムのWebサイトには、通常のブログだけでなく、会員ページや各種サービスに関係する機能もあるからです。
もしプラグインの更新によってサイトに不具合が発生すれば、実際にサービスを利用しているお客様にも影響が出てしまいます。
そのため、今後は以下の方針で対応していく予定です。
- セキュリティ上の問題があるプラグインは優先して対応する
- アップデート前にバックアップを確認する
- WordPressやPHPとの互換性を調べる
- 更新後は会員ページや主要機能が正常に動くか確認する
重要なのは、単に新しくすることではなく、安全性とサービスの安定性を両立させることだと思っています。
なお、今回のPHPの脆弱性と、WordPressプラグイン個別の脆弱性は別の問題です。
PHPを更新したからプラグインの問題まで解決するわけではありませんし、その逆も同じです。
お客様への一斉メールでも対応状況を共有することにした
今回、もう一つ意識したことがあります。
それは、お客様への情報共有です。
RYO英会話ジムは、ブログを読んでもらうだけのメディアではありません。
実際に受講料をお支払いいただき、継続的にサービスを利用してくださっているお客様がいます。
だからこそ、今回のようなセキュリティに関係するニュースがあったときには、必要な範囲で対応状況をお伝えすることが大切だと考えました。
そこで、一斉メールでは以下の3点を中心に伝えることにしました。
1. PHPの脆弱性が報告されたこと
何が起きたのかを、専門用語を使いすぎず簡潔に説明する。
2. 当ジムでは修正済みのPHP 8.3.36を使用していること
実際に管理画面で確認した事実を伝える。
3. WordPressのプラグインについても順次確認・対応していくこと
今後もセキュリティ対策を続けていく方針を共有する。
今回の件について、お客様側で特別な操作をお願いする必要はありません。
一方で、「サイトは完全に安全です」と断言することもしませんでした。
セキュリティに絶対はないからです。
確認できた事実を正確に伝え、今後も必要な対策を続ける。
オンラインサービスを運営するうえでは、こうした小さな積み重ねが信頼につながるのではないかと思っています。
海外ノマドだからこそ、Webサイトの安全性は重要
今回の経験を通じて、あらためて感じたことがあります。
それは、場所に縛られない働き方ほど、オンライン上の事業基盤に依存しているということです。
僕は2020年から海外ノマドとして生活し、インターネットを通じて仕事をしています。
オフィスを構える必要はありませんし、場所を選ばずに事業を続けられます。
これは大きなメリットです。
ただし、その自由を支えているのは、Webサイトやオンラインサービスが正常に動いているという前提です。
例えば、Webサイトが攻撃されて利用できなくなれば、集客にも影響が出ます。
会員ページに不具合が発生すれば、お客様の利便性も下がります。
さらに、顧客情報の管理に問題が起きれば、事業の信用にも関わります。
つまり、オンラインビジネスにおけるセキュリティ対策は、単なる技術的な作業ではありません。
事業そのものを守るための運営管理の一部なのだと思います。
僕自身、マーケティングやコンテンツ制作には多くの時間を使っていますが、サーバー環境の確認はどうしても後回しになりがちでした。
今回のニュースは、そうした部分にも定期的に目を向けるよいきっかけになりました。
PHP 8.3はいつまで使える？今後のアップデート方針
最後に、今後のPHP運用についても整理しておきます。
PHP 8.3の公式セキュリティサポート期限は、2027年12月31日です。
そのため、今回の脆弱性が修正された8.3.36を使用しているからといって、ずっと使い続けられるわけではありません。
今後はPHP 8.4や8.5など、より新しいバージョンへの移行も必要になります。
ただし、現段階で無理に変更するつもりはありません。
今使っているWordPressのテーマやプラグインとの互換性を確認しながら、適切なタイミングで移行していく予定です。
僕としては、次の考え方を大切にしたいと思っています。
「最新版を追いかけること」より、「セキュリティ修正を確実に適用し、安定して運営できる環境を維持すること」。
もちろん、深刻な脆弱性が報告された場合は、通常の更新スケジュールよりも早く対応する必要があります。
安全性を優先しつつ、サービスを止めない運営を目指していきたいですね。
まとめ：WordPress運営者はPHPのバージョンも確認しておこう
今回のPHP脆弱性をきっかけに、僕自身もサーバー環境を見直すことになりました。
実際に確認した結果、利用中のPHPは8.3.36で、今回報告された脆弱性に対応したバージョンでした。
ひとまずPHPについては安心できましたが、WordPressのプラグインや今後のアップデートなど、引き続き確認すべきこともあります。
今回学んだのは、Webサイトの安全性は、WordPress本体やプラグインだけでなく、その土台となるサーバー環境も含めて考える必要があるということです。
オンラインビジネスは、パソコン一台で世界中どこからでも仕事ができる魅力的な働き方です。
ただ、その自由を長く続けるためには、見えないところで支えてくれているシステムを守ることも欠かせません。
これからも自分自身の運営経験を通じて、海外ノマドやオンライン起業に役立つ情報を共有していきたいと思います。
もしWordPressを運営している方がいれば、この機会に一度、PHPのバージョンを確認してみてください。
数分の確認が、大きなトラブルを防ぐきっかけになるかもしれません。
参考情報
- PHP公式｜PHP 8.3.36 リリース情報
- PHP公式｜サポート対象バージョンと期限
- Google Cloud｜PHPの重大な脆弱性に関する解説
- 英国国家サイバーセキュリティセンター｜PHPの重大な脆弱性
※本記事は2026年10月27日時点の情報と、筆者自身のWordPress運営経験をもとに作成しています。セキュリティ情報や修正済みバージョンは今後変更される可能性があります。
The Remote Digital Hubをもっと見る
購読すると最新の投稿がメールで送信されます。
コメントを残す