公開：2026年10月22日／追記：2026年10月23日。PHP公式、IPA、ConoHa WING、WordPress公式の公開情報をもとにしています。
【10月23日追記・ConoHa WING利用者へ】ConoHa WINGは2026年10月22日20時45分時点で、提供するすべてのPHPバージョンへのセキュリティパッチ適用を完了したと発表しました。PHP 8.5.11や8.4.26など、番号は従来のままですが修正を取り込んでいるため、今回の脆弱性に対処する目的で利用者がPHPバージョンを変更する必要はありません。これ以降の本文にはPHP公式の修正版番号や、更新完了前の確認方法も記載しています。詳しくはConoHa公式「対応完了のお知らせ（終報）」をご覧ください。
「PHPを8.5に変更したから、もう安心でしょ？」――WordPressの管理画面に古いPHPの警告が出て、ようやく最新版に切り替えた人ほど、そう思うかもしれません。しかし2026年10月21日、PHP公式が重大なセキュリティ更新を発表しました。今回のポイントは「8.5か8.4か」だけではありません。末尾の数字まで確認する必要があります。
ブログを3サイト、4サイトと運営する人なら、もう一つの落とし穴があります。ConoHa WINGでは「サーバー共通」と「ドメイン個別」のPHP設定があり、共通側を変更しても個別指定済みのサイトには反映されない場合があるのです。この記事は公式発表の要約だけで終わらせず、修正版の見分け方からWordPress側の実測確認、ConoHaでの確認順序、トラブル時の判断まで整理します。
結論：PHP公式の修正版は8.5.12、ConoHa WINGは8.5.11表示でも修正済み
PHP開発チームは10月21日、認証なしのリモートコード実行につながり得る重大な脆弱性2件に対応した更新版を公開しました。該当する識別番号はCVE-2026-109618、CVE-2026-109619です。公式発表によると、Webリクエストを処理するPHP環境が対象となり、セキュリティチームは速やかな更新を呼びかけています。
| PHP系列 | 10月21日に公開された修正版 | 確認のポイント |
|---|---|---|
| PHP 8.5 | 8.5.12 | ConoHa WINGは8.5.11表示のまま修正済み |
| PHP 8.4 | 8.4.27 | 8.4という表示だけでは判断できない |
| PHP 8.3 | 8.3.36 | 同じ系列内のパッチ版も確認する |
| PHP 8.2 | 8.2.35 | この系列は2026年12月末にサポート終了予定 |
重要なのは、「8.5に切り替えた」＝「8.5.12になった」ではないこと。ホスティング事業者が提供するPHPの更新状況や、修正を個別に取り込むバックポートの有無によって判断が変わります。バージョン番号だけで不明な場合は、ホストに今回の2件のCVEへの対応状況を問い合わせましょう。PHP公式の10月21日セキュリティ告知。
そもそも何が危険？「WordPressが悪い」とは限らない
PHPはWordPressのプログラムをサーバー上で動かす言語です。記事を表示したり、検索フォームを処理したりする裏側で使われています。今回の修正対象はWordPressの特定の記事やテーマではなく、PHP側の処理に関係します。悪用されると、条件によっては認証していない第三者によるコード実行につながる恐れがあると公式が説明しています。
とはいえ、古い版を使っていることだけで「サイトが既に侵害された」と断定はできません。サーバー構成や提供元の修正状況によってもリスクは変わります。反対に、WordPressプラグインを全て更新しただけでPHP本体の問題が解消するわけでもありません。まずはPHPの適用バージョンとホスティング会社の対応状況を確認することが先決です。
ConoHa WINGで確認：共通設定だけでは足りない理由
ConoHa WINGの公式PHP設定ガイドでは、上部メニュー「WING」→「サイト管理」→「サイト設定」→「応用設定」→「PHP設定」と進み、選択中のPHPバージョンを確認できます。必要なら鉛筆アイコンから変更します。ただし、急いで8.5を選び直す前に、設定の適用範囲を確かめてください。
同ガイドにはドメインごとのPHPバージョン変更が可能で、個別のバージョン指定はサーバー共通設定より優先されると明記されています。例えば1台のサーバーにサイトA・B・Cがあり、共通設定を8.5にしても、Bだけ8.4を個別指定していればBは別の系列で動く可能性があります。これはブログを複数運営する人が特に見落としやすい点です。
| 設定例（説明用） | サーバー共通 | ドメイン個別 | 適用される系列の考え方 |
|---|---|---|---|
| サイトA | 8.5 | 共通に準拠 | 8.5 |
| サイトB | 8.5 | 8.4を個別指定 | 8.4 |
| サイトC | 8.5 | 共通に準拠 | 8.5 |
この表はConoHaの公式仕様を理解するために編集部が作成した例であり、特定の契約者の実測値ではありません。ConoHa WINGは2026年10月22日20時45分、8.5.11など従来の表示番号を維持したまま修正プログラムを適用済みと発表しました。数字だけで判断せず、サービス提供元の公式案内を基準にしてください。
WordPressの管理画面から末尾の数字まで確認する手順
ConoHaの画面だけでなく、実際にWordPressがどのPHPで動いているかも確かめられます。公式のサイトヘルス機能なら、追加プラグインを入れずに環境情報を確認できます。手順は難しくありません。
- 対象サイトのWordPress管理画面へログインする。
- 左メニューの「ツール」→「サイトヘルス」を開く。
- 上部の「情報」タブを選び、「サーバー」の項目を展開する。
- 「PHP バージョン」欄を見て「8.5.12」のような3つの数字をメモする。
- 複数のブログがあればドメインごとに同じ操作を行う。
いまポケ編集部でも、運営中のWordPress環境からサーバー側のPHP版を確認する方法を使っています。管理画面の「WordPressのバージョン」と「PHPのバージョン」は別のものなので、数字を取り違えないことも大切です。WordPress公式サイトヘルス解説にも、情報タブのサーバー項目が案内されています。
なお、ネット上にはサーバーの全設定を表示する「phpinfo.php」を公開領域に置く方法もありますが、今回の目的なら必要ありません。公開したまま放置すると余分なサーバー情報を露出する恐れがあるため、まずはWordPressの管理画面で確認しましょう。
PHP 8.5に変更しても、表示速度が必ず上がるわけではない
「PHPを新しくすればSEOも速くなる」と期待する人もいるかもしれません。新しいPHP版で処理効率が改善される場合はありますが、サイト全体の表示速度には画像、JavaScript、広告、キャッシュ、テーマなども影響します。PHPの版を変えただけで、PageSpeed Insightsの点数が必ず上がるとは言えません。
切り替えの効果を確かめる場合は、事前と事後に同じトップページ・記事ページを複数回計測し、LCP（主要な表示内容が現れるまでの時間）やエラーの有無を見比べるとよいでしょう。セキュリティ上必要な更新と、表示速度の改善効果は別々に評価するのがポイントです。単一回の測定結果だけで「8.5は8.4の何倍も速い」といった結論を出すことは避けましょう。
更新前後に確認したい「6項目」チェックリスト
PHPとWordPressの互換性が公式に案内されていても、追加テーマやプラグインまで自動的に動作保証されるわけではありません。特にWordPress 7.1はPHP 8.5をサポートしていますが、各プラグインの対応状況は別途確認が必要です。WordPress 7.1公式互換性資料。
| チェック | 確認方法 |
|---|---|
| ①バックアップ | 更新前に復元可能なバックアップの日時を確認 |
| ②表示・画像 | トップ、カテゴリ、記事ページと画像を開く |
| ③ログイン | 管理画面に正常ログインできるか確認 |
| ④問い合わせ | フォームが正しく動くか安全なテスト送信を行う |
| ⑤プラグイン | SEO、キャッシュ、広告、セキュリティ関連の動作を確認 |
| ⑥エラー | サイトヘルスとサーバー側のPHPエラーログを確認 |
この表は公式の互換性・設定情報をもとに、編集部が運用者向けに整理した実務チェックリストです。万一更新後に不具合が出ても、古い脆弱な版への長期的な巻き戻しで済ませないでください。メンテナンスや保守事業者への相談を含め、安全な修正版で動く状態へ復旧することが目的です。
ConoHa WINGは旧番号のまま修正済み、他社は公式発表を確認
ConoHa WINGは、PHPの表示番号を変えずに今回の修正プログラムだけを取り込む方法で対応しました。WordPressのサイトヘルスに8.5.11や8.4.26と表示されても、今回の脆弱性への修正は適用済みです。一方、他社レンタルサーバーや自分で管理するVPSでは対応状況が異なるため、数字だけで100％安全・危険と断定せず、提供元の公式発表を確認してください。
問い合わせる際は、次のように伝えると確認が進みやすくなります。「2026年10月21日公表のCVE-2026-109618とCVE-2026-109619について、当サイトの利用PHP環境に修正が適用されていますか。未適用の場合、対応予定と利用者が実施すべき操作を教えてください」。契約中のドメイン名、WordPressのサイトヘルスに表示されたPHP版を添えれば、担当者が対象を特定しやすくなります。
公式のセキュリティチームは、応急的な設定変更には限界があり更新が唯一の完全な対処だと説明しています。自分でサーバーの内部設定や.htaccessを無理に変更するより、提供元の更新・案内を優先してください。
よくある質問：8.4のままでも大丈夫？ 8.6に変えた方がいい？
Q. PHP 8.4なら危険、8.5なら安全ですか？
いいえ。今回の修正版は8.4系列なら8.4.27、8.5系列なら8.5.12です。系列名だけでなく、今回の修正が適用されたかが重要です。WordPress本体とプラグインの対応を確認した上で、サポート中の適切なPHP系列を選びましょう。
Q. PHP 8.6のテスト版にすればいいですか？
いいえ。2026年10月22日時点のPHP 8.6はリリース候補段階です。一般的な本番のWordPressサイトに、テスト目的の版を安易に導入することはおすすめしません。
Q. WordPressを最新版にすれば今回の問題は直りますか？
WordPress本体の更新も重要ですが、今回はPHP側のセキュリティ修正です。サーバーで動くPHPの修正適用状況を別途確認する必要があります。
Q. ConoHaで1サイトだけ切り替えれば全部変わりますか？
ドメイン個別設定が優先されるため、すべて同じになるとは限りません。複数サイトを運営している場合は、各WordPressのサイトヘルスから実際の版を確認しましょう。
まとめ：大切なのは「8.5にした」ではなく「修正済みの版か」
10月21日にPHP公式が公開した重大なセキュリティ更新は、WordPressを運営する人にも関係するニュースです。PHP公式の修正版は8.5.12、8.4.27、8.3.36、8.2.35ですが、ConoHa WINGは10月22日20時45分、既存バージョン番号のまま修正プログラムの適用完了を発表しました。ConoHa WING利用者は、今回の脆弱性のために慌ててPHP版を変える必要はありません。その他のホスティングサービスでは、それぞれの公式発表を確認してください。
IPAも10月22日に最終注意喚起を公開し、PHP 8.1以前はサポート終了のため、対応版への更新または対策済みサービスへの移行を推奨しています。更新がすぐに難しい場合は、暫定的なアクセス制限を検討し、十分な緩和策が取れない環境では外部アクセス遮断やサービス一時停止の要否まで判断するよう案内しています。
今日のおすすめ行動は、まず契約サーバーの公式セキュリティ告知を確認すること。 ConoHa WINGでは対応完了済みと案内されています。WordPressの「ツール → サイトヘルス → 情報 → サーバー」でPHP版を確認することも役立ちますが、ConoHaでは旧番号のまま修正が適用されています。修正状況が不明な別サービスについては、CVE番号を添えて提供元へ問い合わせてください。
情報源・画像について
出典：PHP公式（2026年10月21日のセキュリティアドバイザリ）／IPA「PHPの脆弱性対策について」（2026年10月22日）／ConoHa WING「PHPの設定をする」／WordPress 7.1サーバー互換性資料／WordPress公式「Site Health screen」。対応状況や修正の提供時期はホスティング事業者によって異なるため、公式発表を確認してください。
掲載画像：Wikimedia Commons「Php logo.svg」を基にしたPHPロゴ図版（パブリックドメイン表記のファイル）。本記事はPHP開発チーム・ConoHa WINGの協賛・提供ではありません。