WordPressでブログを動かしていると、PHPの脆弱性のニュースが流れてきて、急に落ち着かなくなります。バックアップって、とっていたでしょうか。プラグインは、たしか何個か入れっぱなしだった気がします。管理者のパスワードも、いつ決めたものだったか。何から手を付ければいいんでしょう。
はじめまして、モノサシ屋のみつきです。公式の発表を、確かめる順番に並べています。
結論｜5つの確認のうち、この脆弱性に関わるのは最初の1つだけ
確認は5つあります。このうちPHP2Shellの対策にあたるのは、1つ目の「契約先のパッチ適用とPHPの修正版の確認」だけです。2つ目から5つ目は、この脆弱性の対策ではなく、ふだんの備えです。WordPress本体を更新しても、PHP本体の問題は直りません。(出典: php2shell.com、JPCERT/CC 注意喚起 AT-2026-0033) PHP2Shellそのものは、PHP2Shellとはにまとめています。
- 1契約先のパッチ適用と、PHPが修正版かを見る（この脆弱性の対策）
- 2バックアップがあるかを見る（ふだんの備え）
- 3WordPress本体・テーマ・プラグインの更新を見る（ふだんの備え）
- 4管理者アカウントとパスワードを見る（ふだんの備え）
- 5使っていないプラグインとテーマを整理する（ふだんの備え）
確認1｜契約先のパッチ適用と、PHPが修正版かを見る
今回の脆弱性は、WordPressではなくPHP本体にあります。2026年10月21日に、PHPの修正版として8.5.12・8.4.27・8.3.36・8.2.35が公開されました。(出典: php.net ニュース（2026年10月21日付）) WordPressの画面には、PHPを更新する機能がありません。PHPを変えられるのは、サーバーを管理している側です。
だから見る場所は、契約しているサーバー会社のお知らせです。次の図のように、使っているサーバーの種類で動き方が分かれます。
サーバーの種類を選ぶ
レンタルサーバーか、VPSなど自分で管理するサーバーかで、確認先が変わります。
契約先のお知らせで、パッチ適用の完了と、利用者の作業の有無を読む
自分で修正版へ更新し、Webサーバー側の再起動まで行う
レンタルサーバーでは、各社が2026年10月22日付でお知らせを出しています。書かれている内容は会社ごとに違います。
| 契約先 | お知らせの内容 | 読み取れること |
|---|---|---|
| ConoHa WING | 2026年10月22日20時45分にパッチ適用が完了。PHPバージョンの変更は不要 | 表示バージョンの番号は据え置き |
| ロリポップ！ | 全バージョンで、ファイルのアップロード状況を記録するPHPの機能が無効。動作確認と対応を依頼 | サイトの動作確認が必要 |
| エックスサーバー | PHP 8.2〜8.5は2026年10月22日6時45分に完了。ご利用状況によっては追加の対策を依頼する場合がある | 追加の依頼がないか、お知らせを読む |
出典は、各社の公式お知らせです。(出典: ConoHa WING、ロリポップ！、エックスサーバー) 各社の対応は、国内レンタルサーバー各社の対応状況に並べています。
サイトヘルスなどに出るPHPのバージョン番号は、会社によってはパッチ適用のあとも変わりません。ConoHa WINGなどは、番号を据え置いたまま修正を適用しています。旧い番号が出ていても、お知らせに適用済みと書かれていれば、その会社では修正が済んでいます。(出典: ConoHa WING公式) 番号の見方と契約先のお知らせの探し方は、自分のサイトが影響を受けるかの確認に手順を書きました。
修正版が公開されてから、各社のお知らせが出るまでの流れは次のとおりです。
- 2026年10月20日PHPが、重大な修正版の公開を予告する
- 2026年10月21日PHPの修正版が公開される
- 2026年10月22日JPCERT/CCが注意喚起を出し、レンタルサーバー各社がお知らせを出す
- 2026年12月31日PHP 8.2のサポートが終わる
見ておく点
PHP 8.1以前には、公式の修正版が出ていません。JPCERT/CCは、サポートされている版への移行を勧めています。
みつき
WordPressの更新ボタンを押せば直る、と思い込んでいました。PHPはサーバーの側の話なんですね。まずお知らせのページを探してみます。
確認2｜バックアップがあるかを見る
2つ目からは、PHP2Shellとは別に、サイトを守るためのふだんの備えです。サイトが動かなくなったときに戻れる場所があるか、を先に確かめておきます。
見るのは、バックアップが「あるか」の1点です。とり方は人によって3通りに分かれます。
サーバーの自動バックアップ
契約先の機能を使っている人は、管理画面で有効になっているかを見ます。
プラグインでのバックアップ
日付の新しいファイルが、実際に残っているかを見ます。
手元へのコピー
サイトのファイルとデータベースの両方が、自分のパソコンなどに保存されているかを見ます。
PHPのバージョンを変えて動かなくなったときの戻し方は、PHPのバージョンを変更する手順で扱います。ここでは、戻るための材料がそろっているかを見るところまでです。
みつき
バックアップは、とったつもりになっていました。ファイルが本当にあるのかを、まず自分の目で見に行きます。
確認3｜WordPress本体・テーマ・プラグインの更新を見る
WordPress本体・テーマ・プラグインの更新は、PHP2Shellを塞ぎません。PHPの問題はPHP本体の更新でしか直らないからです。それでも、更新が残っていないかは、ふだんの備えとして見ておきます。
- 1
ダッシュボードの更新を開く
管理画面の「更新」で、本体・プラグイン・テーマの更新が残っていないかを見ます。
- 2
バックアップがあるのを見てから更新する
更新で表示が崩れることがあります。確認2のバックアップを見たあとに、1つずつ更新します。
- 3
サイトの表示を開いて見る
更新のあとは、トップページと記事のページを開いて、表示が崩れていないかを見ます。
| 更新するもの | 見る場所 | この脆弱性との関係 |
|---|---|---|
| WordPress本体 | 管理画面の「更新」 | 直らない（ふだんの備え） |
| テーマ・プラグイン | 管理画面の「更新」 | 直らない（ふだんの備え） |
| PHP本体 | 契約先のお知らせ | 直るのはここだけ（確認1） |
更新の対象を、層で分けると次の図のようになります。
WordPress
自分で更新
上で動く
PHP
サーバーの側で更新
上で動く
サーバー
契約先が管理（VPSなら自分）
WordPressの更新で変わるもの
WordPress本体やプラグインの、ふだんの不具合や弱点です。
PHP本体の更新で変わるもの
今回の2件の脆弱性です。サーバー側で更新されます。
確認4｜管理者アカウントとパスワードを見る
管理画面に入れる人が誰かを、いちど見直します。これも、PHP2Shellの対策とは別の話です。
ダッシュボードの「ユーザー」を開くと全ユーザーが並ぶので、権限の列が管理者のものを見ます。見覚えのないアカウントがないか、使っていない人のアカウントが残っていないかを見ます。パスワードは、ほかのサービスと使い回していないものにします。
管理者のアカウントが、使っていない人の分まで残っている
管理者は、実際に使う人だけにする
ほかのサービスと同じパスワードを使っている
このサイト専用のパスワードにする
みつき
昔、手伝ってもらった人のアカウントが、そのままかもしれません。ユーザーの一覧を開くのが、ちょっと怖いです。
確認5｜使っていないプラグインとテーマを整理する
入れたまま使っていないプラグインやテーマは、更新の対象としては増えたままになります。これもふだんの備えです。使っていないものは、停止して、削除します。
- 1確認2のバックアップがあるのを見る
- 2「プラグイン」「テーマ」の一覧で、使っていないものを探す
- 3使っていないものを停止して、削除する
- 4サイトの表示を開いて、崩れていないかを見る
停止中のプラグイン
停止していても、サイトの中には残っています。使わないものは削除します。
使っていないテーマ
使っているテーマ以外は、更新の対象としては増えたままになります。子テーマを使っている場合、親テーマは有効になっていなくても消さない（テーマ一覧で親子の関係を確かめる）。
削除の前のバックアップ
消して困ったときに戻れるよう、削除の前にバックアップを見ます。
どのプラグインを入れるか、外すかは、サイトごとに違います。
情報の確認日: 2026年10月23日
まとめ｜最初に契約先のお知らせを開き、残りは落ち着いてそろえる
PHP2Shellの確認は契約先のお知らせから、残りはふだんの備え
この脆弱性に関わるのは、契約先のパッチ適用とPHPの修正版を見る確認1です。確認2から5は、バックアップ・更新・管理者アカウント・不要なプラグインの整理で、この脆弱性の対策ではなくふだんの備えです。すでに侵入されたかもしれないときは、侵入されたかもしれないときの確認に進みます。
モノサシを片手に、まずは契約先のお知らせからどうぞ。
— モノサシ屋みつき