WordPressはPHP脆弱性でどうなる？更新しても直らない理由とPHP切替手順

PHPの脆弱性のニュースを見て、「WordPressを最新にしておけば大丈夫」と思った方、ちょっと待ってください。今回の「php2shell」は、WordPressではなくPHP本体の問題です。WordPressやプラグインを更新しても、直りません。直すのは、サーバー側のPHPです。

先に結論

なぜWordPressを更新しても直らないのか

WordPressは、PHPというプログラム言語の上で動いています。今回の問題は、その土台のPHPにあるものです。たとえるなら、家の中を片づけても、土台のひびは直らない、という状況です。WordPress本体の更新は不要で、予定もないと説明している解説もあります。

研究者の検証では、WordPress、Laravel、Symfonyなどの構成で攻撃が再現したとされています。WordPressサイトは影響を受ける可能性がある、と考えておくのが安全です。

表示された数字が修正版以上なら、ひとまず安心です。そうでなければ、次の手順へ。

多くのレンタルサーバーでは、管理画面の「PHP設定」「PHPバージョン切替」といった項目から、バージョンを選べます。選ぶのは、サポート中で、修正版が入っているもの。事業者のお知らせで、すでに自動更新されているケースもあるので、先にお知らせを確認してください。

古いプラグインやテーマが、新しいPHPに対応していないことがあります。表示が崩れたり、真っ白になったりしたら、慌てず元のバージョンに戻してから原因を探しましょう。ただし、古いままにしておくのはリスクがあるため、対応していないプラグインは、代わりのものに乗り換えるのがおすすめです。

解説記事では、セッションのアップロード進捗機能を止める設定や、WAFの有効化などが一時的な対策として紹介されています。ただし、これで完全には防げないとされています。どうしても難しい場合は、サイトを一時的に止める判断も選択肢です。

自分のサイトも、サイトヘルスで確認しました。PHPは8.2.35。修正版でした。確認は1分で終わるので、まだの人は、この記事を閉じる前にぜひ。「WordPressは最新だから」という安心感が、いちばん落とし穴になりやすいと感じます。

ネットで見られる声のタイプ(論調の要約。個別の書き込みの引用ではありません)

サイトヘルスでPHPを確認、バックアップを取る、サーバーでバージョンを切り替える、表示を確認する。この4つです。あなたのサイトは、PHPのバージョン、確認できていますか?

出典:PHP公式セキュリティリリース(2026年10月21日)、GMO Flatt Securityブログ、各社の解説記事。本記事は公開情報にもとづく解説で、個別のシステムの安全性を保証するものではありません。最新の情報は、PHP公式のお知らせやIPAなどの公的機関の案内でご確認ください。