【緊急コラム】PHP脆弱性でWeb担当者がやることは？レンタルサーバーとWordPressの二層更新を理解する

---

2026年10月22日時点の情報です。2026年10月21日、PHPの開発元は重大な脆弱性2件への修正版を公表しました。脆弱性そのものと対応の全体像は「PHPの脆弱性への対応（2026年10月）」で整理しています。

この記事では、レンタルサーバーでWordPressのサイトを運営しているWeb担当者に向けて、今回やることと、今後の管理の仕方、レンタルサーバーを比べるときの基準をまとめます。

---

レンタルサーバーでWordPressを使っている場合、Web担当者は何をすればいいのか

二層更新とは——事業者の層と、利用者の層

レンタルサーバー上のWordPressサイトには、更新が必要な層が2つあります。この記事では、更新がこの2つの層に分かれていることを「二層更新」と呼びます。

事業者の層は、サーバーやPHP本体です。レンタルサーバーでは、この層の更新を事業者が担う場合があります。どこまで担うかは事業者ごとに異なります。

利用者の層は、WordPress本体・テーマ・プラグインです。この層は、利用者がWordPressの管理画面から更新します。

IPA（独立行政法人情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」も、その(19)で、ホスティングなどを利用する場合は事業者の作業範囲を把握し、足りない部分は自組織で対応するよう求めています。

事業者の層は告知で確認し、利用者の層は自分で更新する

2026年10月21日に公表されたPHPの脆弱性は、主に事業者の層の話です。ただし、事業者がどのプランのどの系列に修正を当てたかは、事業者の告知で確認する必要があります。

一方、2026年7月に公表されたWordPressの脆弱性のように、利用者の層に修正が必要になることもあります。こちらは自分で更新します。Web担当者がやることは、事業者の層は「確認する」、利用者の層は「更新する」と整理できます。

---

今回のPHPの脆弱性で、Web担当者がやること

次の順で進めます。

1. 事業者の告知を確認する
2. サイトヘルスでPHPの版を確認する
3. PHPの系列が古ければ、切り替えの準備をする
4. WordPress本体の版を確認する
5. テーマ・プラグインを更新し、使っていないものの扱いを決める
6. 確認した日と結果を記録する

事業者の告知を確認する

利用しているレンタルサーバー事業者のお知らせやメンテナンス情報を開きます。今回の修正版は、PHP 8.5.12・8.4.27・8.3.36・8.2.35です（The PHP Group「News Archive 2026」より）。

告知では、今回の脆弱性への対応が完了したことと、その対象に自分のプランと、使っているPHPの系列が含まれているかを確認します。告知に対象のプランや系列が書かれていない場合は、事業者に問い合わせることも検討してください。問い合わせの記録は、そのまま確認の記録にもなります。

サイトヘルスでPHPの版を確認する

WordPressの管理画面で、「ツール」→「サイトヘルス」を開き、「情報」タブの「サーバー」の項目を見ると、PHPの版を確認できます。この画面は表示専用で、ここから設定は変えられません。変更には、管理者やレンタルサーバー会社への問い合わせが必要な場合があります（WordPress.org 日本語「サイトヘルス画面」より）。

ここに表示される版は、判断の材料の一つです。版の表示だけで「対応済み」と判断せず、事業者の告知と突き合わせてください（理由は次の章で説明します）。

PHPの系列が古ければ、切り替えの準備をする

表示された系列が8.2以前であれば、サポート中の新しい系列への切り替えを考える時期です。ただし、すぐに切り替えるのではなく、準備をしてから切り替えます。手順は後の章「PHPの系列が古い場合の切り替え方」で説明します。

確認した日と結果を記録する

事業者の告知を確認した日、告知のタイトル、そのときサイトヘルスに表示されていたPHPの版を記録しておきます。表計算でも、メモでもかまいません。社内や外部から確認を求められたときに、いつ何を確認したかを説明できます。次に確認するときの起点にもなります。

---

サイトヘルスの版の表示だけで判断しない

版の表示と事業者の告知を突き合わせる

サイトヘルスに修正版の番号が表示されていれば、対応済みだと考えたくなります。しかし、レンタルサーバーでは、事業者が独自に修正を当てる場合があります。この場合、PHPの版の番号が変わらないまま修正が入っていることがあります。

そのため、版の番号が修正版の番号になっていなくても、事業者が対応完了を告知していれば、修正が入っている可能性があります。反対に、番号だけでは、事業者がどの範囲で対応したかは分かりません。

事業者の層については、事業者の告知を判断の基準にし、サイトヘルスの表示はそれを補う材料として使ってください。

---

PHPの系列が古い場合の切り替え方

WordPressの推奨するPHPの版を確認する

WordPress公式は、PHP 8.3以上を推奨しています。PHP 7.4以上でも動きますが、それらの版は公式のサポートが終わっており、サイトを脆弱性にさらす恐れがあるとしています（WordPress.org「Requirements（要件）」より）。

PHPは系列ごとに計4年でサポートが終わり、PHP 8.2のセキュリティサポートは2026年12月31日で終わります（The PHP Group「Supported Versions」より）。8.2以前を使っている場合は、8.3以上の系列への移行を計画してください。

切り替える前に、バックアップと更新を済ませる

PHPの系列を切り替える前に、次の順で準備します。

1. サイト全体のバックアップを取る（データベースとファイルの両方）
2. WordPress本体を最新版に更新する
3. テーマとプラグインを最新版に更新する
4. 使っているテーマ・プラグインが、切り替え先のPHPの系列に対応しているかを確認する

更新によって、それまで動いていた機能が動かなくなることがあります。IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」も、その(9)で、更新の前に検証するよう求めています。バックアップがあれば、問題が起きたときに元に戻せます。

切り替えたら、主なページの動きを確認する

系列を切り替えたら、すぐにサイトの主なページを確認します。

• トップページが正しく表示されるか
• 問い合わせフォームが動くか
• カートや購入の手続きが動くか（ECサイトの場合）
• 管理画面が正しく動くか

問題が見つかったら、バックアップから戻すか、元の系列に戻したうえで、原因になっているテーマやプラグインの対応状況を確認します。自分で判断が難しい場合は、保守の担当者や制作会社に相談してください。

---

利用者の層：WordPress本体・テーマ・プラグインの更新

自動更新がオンでも、WordPress本体の版を確認する

2026年7月には、WordPress本体の脆弱性について、IPAが注意喚起を出しています。修正版は6.8.6・6.9.5・7.0.2です（IPA「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」より）。

同じ注意喚起でIPAは、WordPress側が自動更新による強制更新を有効にしたものの、環境・構成や設定によっては自動更新が有効でなかったり、更新に失敗したりしている可能性があるとしています。そのうえで、管理画面で版を確認し、更新されていなければ手動での更新を検討するよう求めています。

自動更新をオンにしていても、管理画面で今のWordPressの版を確認してください。

テーマ・プラグインを更新し、使っていないものの扱いを決める

管理画面の「プラグイン」と「外観」→「テーマ」で、更新できるものがないかを確認し、更新します。

あわせて、使っていないテーマやプラグインの扱いも決めます。WordPress公式の「サイトヘルス画面」の解説でも、使う予定のない停止中のテーマは削除するよう勧めています。残しておく場合は、使っているものと同じように更新を続ける必要があります。

---

今後の管理体制：どの層を、誰が、いつ確認するか

今回の対応が終わっても、PHPにもWordPressにも、修正版はこれからも出ます。二層更新のそれぞれについて、誰が・いつ確認するかを決めておきます。

事業者の層については、事業者のお知らせを誰が見るかを決めます。メールでの通知を受け取れる場合は、担当者だけでなく、代わりに見られる人にも届くようにしておくと、担当者が不在のときも確認が止まりません。

利用者の層については、WordPress本体・テーマ・プラグインの更新を確認する頻度と、更新前にバックアップを取る手順を決めます。PHPの系列の切り替えのような大きな作業は、サポートの終了日を見ながら計画に入れておきます。

---

レンタルサーバーを比べるときの基準

WordPressのサイトなら、事業者の層の扱いで比べる

サイトの運営形態ごとのメリット・デメリットやセキュリティの確認項目は、IPAの「ウェブサイト開設等における運営形態の選定方法に関する手引き」にまとめられています。ここでは、レンタルサーバーでWordPressを使う場合に、今回の脆弱性の観点から確認しておきたい基準を整理します。

基準	確認すること	理由
選べるPHPの系列	WordPressが推奨する8.3以上を選べるか	WordPress公式が8.3以上を推奨しているため
PHPの系列の切り替え方	管理画面で自分で切り替えられるか、問い合わせが必要か	切り替えの計画の立てやすさが変わる
脆弱性への対応の知らせ方	告知に、対象のプランと系列が書かれるか	事業者の層の対応状況を、告知で判断するため
PHPを動かすユーザー	PHPを、アカウント自身のユーザーで動かしているか	WordPress公式が、その形のほうが安全だとしているため
バックアップと戻し方	バックアップの機能と、戻す手順	更新や切り替えで問題が起きたときに戻すため
事業者が担う範囲	どの層の更新までを事業者が担うか	足りない部分を自分で補う必要があるため（IPA「20ヶ条」(19)）

乗り換えは、基準で比べてから決める

今のサーバーがこれらの基準を満たしていれば、急いで乗り換える必要はありません。満たしていない基準があり、事業者に確認しても改善の見込みが立たない場合に、乗り換えの検討を始めてください。乗り換えにはサイトの移行と動作確認が必要になるため、作業の計画も合わせて立てます。

なお、VPSやクラウドのように自分でサーバーを管理する形では、事業者の層も自社か委託先が担うことになります。更新の時期を自分で決められる一方で、更新と検証も自分で行う必要があります。

---

レンタルサーバーとWordPressの脆弱性対応でよくある質問

レンタルサーバーなら、PHPの更新は自分でしなくてよいのか？

レンタルサーバーでは、PHP本体の更新を事業者が担う場合がありますが、範囲は事業者ごとに異なります。事業者の告知で、自分のプランと系列が対応の対象かを確認してください。また、WordPress本体・テーマ・プラグインの更新は、利用者が担う必要があります。

---

サイトヘルスでPHPの版が修正版の番号になっていれば大丈夫か？

版の表示だけでは判断できません。事業者が独自に修正を当て、版の番号が変わらないまま修正が入る場合もあります。事業者の告知で対応状況を確認し、サイトヘルスの表示はそれを補う材料として使ってください。

---

PHPの系列は最新に上げればよいのか？

切り替える前に、バックアップを取り、WordPress本体・テーマ・プラグインを更新し、切り替え先の系列への対応を確認してください。WordPress公式の推奨は8.3以上です。切り替えたあとは、主なページや問い合わせフォームが動くかを確認します。

---

WordPressの自動更新がオンなら確認しなくてよいのか？

確認してください。IPAは、2026年7月のWordPressの脆弱性への注意喚起で、環境・構成や設定によっては自動更新が有効でなかったり、更新に失敗したりしている可能性があるとし、管理画面で版を確認するよう求めています。

---

レンタルサーバーを乗り換えるべきか？

まず、この記事の「レンタルサーバーを比べるときの基準」で今のサーバーを確認してください。WordPressの推奨するPHPの系列を選べ、脆弱性への対応が対象のプランと系列とともに告知されているなら、急いで乗り換える必要はありません。満たしていない基準があり、改善の見込みが立たない場合に検討します。

---

自社で担うのが難しい場合は

事業者の告知の確認、WordPress本体・テーマ・プラグインの更新、PHPの系列の切り替えの準備。これらを社内で続けるのが難しい場合は、保守を外部に任せることも選択肢です。サイトを制作した会社以外でも、保守を受け付けている会社があります。

ORENCHでも、他社で制作したサイトを含めて、PHP・CMS・プラグインの更新、バックアップと復旧、脆弱性情報の確認と連絡を承っています。

公開中のサイトの今の状況を確認するところから始めます。