この記事でわかること
  • 自社サイトのPHPバージョンを、3つの方法で確認するやり方
  • レンタルサーバーでPHPを更新する流れと、更新後に必ず確認する5か所
  • すぐに更新できないとき、やってよいこと・やってはいけないこと
  • 制作会社・サーバー会社にそのまま送れる、確認依頼の文面

2026年10月21日に公表されたPHPの重大な脆弱性（CVE-2026-109618／109619）について、「結局、何をすればいいのか」という声を多くいただきます。この記事は、ニュースの解説ではなく、対策の手順そのものに絞ったガイドです。ニュースの全体像はこちらの記事にまとめています。

先に結論

①PHPのバージョンを確認する → ②修正版（8.2以降）へ更新する → ③更新後の動作と、外から見える情報を確認する。この3つだけです。設定変更だけの対策は部分的な緩和にとどまり、根本的にはPHP本体の更新が必要です。

ステップ1：自社サイトのPHPバージョンを確認する

確認方法は3つあります。いちばん確実なのは①です。

  1. サーバーの管理画面で見る：レンタルサーバーなら、管理画面（サーバーパネル）に「PHPバージョン」「PHP設定」といった項目があります。項目名はサービスによって異なります。
  2. WordPressの管理画面で見る：「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと、PHPのバージョンが表示されます。
  3. 外から見える情報を調べる：下の無料チェックにURLを入れると、PHPのバージョンが外から見えていないかを確認できます。ただし、見えなかった場合は「分からない」であって、「安全」ではありません。
無料・入力30秒・費用契約なし

外から見えているPHPのバージョンを確認

ドメインを入れるだけで、PHPなどのバージョン情報が外から見えていないかを、公開情報の範囲で自動チェックします。

確認できたバージョンの見方

ステップ2：PHPを更新する

更新の前に：バックアップを取る

PHPの更新で、古いテーマやプラグインが動かなくなることがあります。更新前に、サイトのファイルとデータベースのバックアップを取っておけば、何かあっても元に戻せます。サーバーの自動バックアップ機能や、バックアップ用プラグインを使ってください。

更新の流れ（エックスサーバーの例）

エックスサーバーの場合、サーバーパネルの「PHP Ver.切替」から、対象のドメインを選んでバージョンを変更します。他のサービスでも、管理画面の「PHPバージョン」「PHP設定」といった項目から、同じような流れで変更できます。見つからない場合は、各社の公式ヘルプで「PHP バージョン 変更」を検索してください。

① バックアップを取る ↓ ② WordPress本体・テーマ・プラグインを先に最新へ ↓ ③ 管理画面でPHPのバージョンを8.2以降に変更 ↓ ④ サイトの表示と動作を5か所確認 ↓ ⑤ 問題があれば原因を調べる（または制作会社へ）

更新後に確認する5か所

  1. トップページと主要ページが、崩れずに表示される。
  2. 問い合わせフォームから、テスト送信して届く。
  3. WordPressの管理画面にログインできる。
  4. 画面が真っ白になっているページがない。
  5. 予約・決済・会員など、サイト固有の機能が動く。

よくある詰まりどころ：古いテーマやプラグインは、新しいPHPで動かないことがあります。その場合、「古いPHPに戻す」のは最後の手段にしてください。戻すと、今回の脆弱性の対象に戻ってしまいます。まず、動かないプラグインを更新するか、代わりのものに置き換える、制作会社に相談する、のどれかを検討してください。なお、古い版に戻せるかどうかはサーバー会社によって異なります。

すぐに更新できないとき：やってよいこと・いけないこと

「担当者が不在」「制作会社と連絡が取れない」など、すぐに更新できない場合もあります。その間の考え方を整理します。

⏸
サイトの一時停止（有効）
国家サイバー統括室も、修正をすぐに適用できない場合は、ウェブサイトを一時的に止めることを有効な策の一つとしています。売上や予約に直結しないサイトなら、まず検討してください。
📝
問い合わせフォームなどの受付停止（有効）
ファイルのアップロードや、データの送信を受け付ける機能は、停止か、メール・電話での受付に切り替えるのが安全です。
🛡
サーバー会社のセキュリティ機能を有効にする（補助）
WAFなどの機能がある場合は、有効にしておいてください。ただし、これだけで十分とは言えません。
⚠
設定変更だけで済ませる（不十分）
一部で紹介されている設定の変更は、部分的な緩和にとどまります。根本的な解決は、PHPの更新です。

ステップ3：外から見える情報を減らし、異常がないか確認する

バージョン情報を隠す

サーバーの応答には、PHPのバージョンが含まれていることがあります。攻撃者に「この版には、この弱点が効く」と教えてしまうため、非表示にしておくのが基本です。サーバーの設定やPHPの設定で変更できますが、方法はサーバーによって異なります。分からなければ、サーバー会社か制作会社に依頼してください。なお、隠すこと自体は、安全にはなりません。PHPの更新が先です。

異常がないか確認する

修正前の期間に、すでに不正なアクセスを受けていないかも、念のため確認します。

不審な点があれば、パスワードの変更と、専門家への相談をお勧めします。

制作会社・サーバー会社に送れる、確認依頼の文面

自分での対応が難しい場合は、次の文面をそのまま使って、確認を依頼してください。

コピーして使えます

〇〇様

お世話になっております。2026年10月21日に公表されたPHPの重大な脆弱性（CVE-2026-109618／109619）について、弊社のサイト（https://〇〇〇）への対応状況を教えてください。

1. 現在のPHPのバージョン
2. 上記の脆弱性への対応状況（修正済みか、いつ対応するか）
3. PHP 8.1以前の場合、サポート中のバージョンへの移行の可否と時期
4. 更新時の動作確認の担当（どなたが行うか）

お忙しいところ恐れ入りますが、ご返信をお願いいたします。

よくある質問（FAQ）

PHPを更新すると、サイトは壊れませんか？

古いテーマやプラグインを使っている場合、動かなくなることがあります。更新前にバックアップを取り、WordPress本体・テーマ・プラグインを先に最新にしてから、PHPを更新してください。

PHP 8.1以前を使っています。いまからどうすればいいですか？

PHP公式は8.1以前に修正版を出していません。サーバー会社が独自に修正を提供している場合もあるので、まず契約先に確認してください。提供がなければ、8.2以降への移行が必要です。

設定を変えるだけでは、対策になりませんか？

設定の変更は、部分的な緩和にとどまると報告されています。根本的な解決は、PHPを修正版に更新することです。

自分では難しいです。依頼できますか？

当社では、PHPとサーバーの状態確認、更新と動作確認、バージョン表記の非表示などをお受けしています。まず無料チェックで現状を確認し、必要な対策とお見積りをご案内します。

まとめ｜まず「バージョンを知る」ことから

対策の最初の一歩は、自社サイトのPHPが、いま何のバージョンなのかを知ることです。分かれば、やることは決まります。分からなければ、制作会社かサーバー会社に聞いてください。それも難しければ、私たちにご相談ください。

PHP対策のご相談・ご依頼

「確認だけ」「更新まで丸ごと」、
どちらも承ります。

PHP・サーバーの状態確認、修正版への更新と動作確認、バージョン表記の非表示などを、まとめて対応します。まずは無料チェックで現状をご確認ください。無理な営業はしません。

PHP対策を相談・依頼する → 無料チェックを受ける
オンライン対応・費用は状況により異なります（先にお見積り）

参考：IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」、CISA、エックスサーバー「PHP Ver.切替」マニュアル。状況は日々更新されます。最新情報は各機関の発表をご確認ください。