「PHPに重大な脆弱性」と聞いて、自分のお店のホームページやブログは大丈夫なのか、不安になった方もいると思います。
まず確認したいのは、自分のサイトでPHPを使っているか、そして契約先が今回の修正を適用しているかです。サイト運営者全員が、自分で設定を変更する必要があるわけではありません。
例えばラッコサーバーは、今回の2件について、提供するすべてのPHPバージョンへの修正適用と、利用者自身の対応は不要であることを発表しています。一方、その案内を別のサーバー会社や別の脆弱性にまで広げて考えることはできません。
この記事では、個人事業主や小規模なサイトの運営者向けに、確認する順番を整理します。情報は2026年10月24日時点です。
何が起きたのか
PHPは、Webサーバーでプログラムを動かすための言語です。WordPressもPHPを使って動作します。今回問題になったのは、PHP本体の次の2件です。
- CVE-2026-109618
- CVE-2026-109619
IPAは、悪用されると遠隔の第三者による任意のコード実行につながる可能性があると説明しています。簡単に言えば、外部の人にサーバー上で意図しない処理を実行されるおそれがある問題です。IPAの注意喚起
PHP公式が10月21日に公表した修正版は、8.2.35、8.3.36、8.4.27、8.5.12です。ただし、後述するように、レンタルサーバーでは表示上の番号を変えずに修正している場合があります。PHP公式の修正告知
最初に「誰がPHPを管理しているか」を確認する
確認先は、サイトの運営方法によって変わります。
| 運営方法 | 最初に確認すること |
|---|---|
| レンタルサーバーでWordPressを運営 | 契約先の公式告知で、利用中のサーバーが修正対象に含まれるか |
| 制作会社に保守を依頼 | PHPの管理担当と、今回の修正適用状況 |
| VPSなどを自分で管理 | 実際にWebリクエストを処理するPHPと、配布元の修正版・適用手順 |
| PHPを使わない静的サイト | サイト本体以外にPHP製のフォームや管理機能がないか |
WordPress本体の更新と、サーバー上のPHPの修正は別の作業です。 管理画面でWordPressが最新版と表示されていても、それだけでは今回のPHPの対策状況は分かりません。
また、トップページが正常に表示されることも、脆弱性がない証拠にはなりません。見た目ではなく、構成と管理担当者の対応情報で確認します。
ラッコサーバーは対応済み。古い番号が表示されても未修正とは限らない
ラッコ株式会社は10月22日の公式発表で、ラッコサーバーが提供するすべてのPHPバージョンに同日早朝、セキュリティ修正を適用したと説明しています。今回の修正について、利用者自身の対応は不要との案内です。ラッコ株式会社の対応完了発表
個別のお知らせには、PHPのバージョン番号を変更せずに修正を適用したと記載されています。そのため、WordPressのサイトヘルスなどに「8.3.35」「8.4.26」「8.5.11」と表示されていても、今回の修正は適用済みとされています。ラッコサーバーの詳細案内
番号だけを見て慌ててPHPを切り替えると、使っているテーマやプラグインとの相性によって不具合が起きる可能性があります。まず契約先の案内を確認し、必要な変更だけを行うのが実務的です。
ただし、ラッコサーバーもPHP 8.1以下については公式サポート終了を案内し、今後に向けてPHP 8.3以降への更新を検討するよう勧めています。今回の緊急修正が済んだことと、古い環境を使い続けてよいことは別です。更新する場合は、バックアップと動作確認を準備して進めましょう。
10月23日には、PHP公式から追加の注意事項も
PHP公式は10月23日付で、特定の設定とアプリケーション処理の組合せに関する追加情報を公表しています。識別番号はCVE-2026-115560です。
公式は、次の通常の不具合修正リリースまで、対象機能の設定 session.upload_progress.enabled=0 を推奨しています。ただし、問題の成立には限定された条件があり、実行中にセッションの保存形式を変更しないアプリケーションは、機能を有効のままにできると説明しています。PHP公式の追加情報
レンタルサーバーの利用者は、この設定を自己判断で変更する前に、契約先の続報や管理担当者の案内を確認してください。ラッコの10月22日の対応完了発表だけを根拠に、この追加情報への対応まで確認済みとは言えません。 本記事では、この追加事項についてラッコ側の適用状況は確認できていません。
Lapis Techでも、サイトと契約サービスを分けて確認しました
当方では10月21日、メインサイトと無料ツールサイトの公開HTML、手元のソース、公開構成の資料を確認しました。両サイトはAstroで生成する構成で、確認したサーバー側の処理はJavaScript、対象のローカルファイルからPHPファイルは見つかりませんでした。
この確認範囲では、両サイト本体は今回のPHP脆弱性の直接の対象ではないと判断しました。ただし、これはサイト全体の安全性や、不正アクセスが一切ないことを保証する検査ではありません。
別途利用しているラッコサーバーについては、10月24日に上記の公式告知で今回の2件の修正適用を確認しました。自社サイトの構成と、契約サービス側の対応を分けることで、不要な設定変更を避けつつ、残る確認事項を整理できます。
サイト運営者が今、残しておきたい3つの情報
今回を機に、次の3つを一か所に控えておくことをおすすめします。
- サイトのURLと、契約しているサーバー会社・サービス名
- PHPなどの更新を担当する人や会社
- 対応完了を確認した公式告知のURLと確認日
サーバー会社に任せられる部分は任せると、運用の負担を減らせます。一方、自分の契約が対応範囲に入っているか、続報に追加の指示がないかを把握する役割は残ります。
何を使っているか、誰に確認すればよいか分からない場合は、Lapis Techの相談フォームから状況をお知らせください。対応できる範囲と進め方をご案内します。パスワードなどの認証情報は送らないでください。
出典・確認範囲
情報確認日：2026年10月24日。PHP公式、IPA、ラッコの発表を参照しています。ラッコの詳細告知はブラウザ上の本文まで確認しました。各読者の個別サーバーへの修正適用や、侵害の有無を本記事で検証したものではありません。
