レンタルサーバー導入奮闘記 ４ ＜ PHPの脆弱性報道 ＞
前回（その３）、PHPのバージョンアップを行い、最新のセキュリティ機能が実装されたものと、安堵感に浸っていました。
サーバーパネルでPHPを選択して、PHPのバージョンを8.3.21（推奨）へ切り替えました。
PHPのバージョンアップ後、WordPress のダッシュボードでの警告メッセージは消え、WordPress のテーマやプラグインが新しいバージョンで問題なく動作していることを確認しました。
ところが、米グーグル傘下のセキュリティーチームが、この「PHP」に重大な脆弱性があることを発見し、日本時間の2026年10月22日までに修正版を公開し、速やかなアップデートを呼びかけています。
そこで、今回の緊急対応するにあたって、ChatGPTに以下のような質問をしました。
最初の赤文字のテキストがChatGPTへの質問です。
・～・～・～・～・～・～・～・～・～・
PHPの脆弱性報道について、最新の情報の詳細を教えて
ChatGPT:
2026年10月22日現在の最新情報を調査しました。
今回のPHPの脆弱性報道は、Webサイトのサーバーに侵入され、攻撃者が任意のプログラムを実行するおそれがある、非常に深刻なセキュリティ問題です。
PHPの開発チームは、日本時間の2026年10月22日までに修正版を公開し、速やかなアップデートを呼びかけています。日本の情報処理推進機構（IPA）も事前に注意喚起を行っています。
以前お聞きした環境では、ブログ「６８歳の夢」は、WordPressとCocoonを使用し、レンタルサーバーはエックスサーバーでした。また、以前のPHPバージョンは PHP 7.4.33 でしたね。
この環境を前提に、今回の脆弱性の内容、危険性、そしてブログを守るために必要な対策を順番に説明します。
1．今回のPHP脆弱性報道の概要
① 何が起きたのか？
2026年10月21日、PHPの開発チームは、深刻な脆弱性2件を修正するセキュリティアップデートを公開しました。
今回の問題の重大な点は、条件がそろうと、攻撃者がログイン認証を行わずに、インターネット経由でサーバー上のプログラムを実行できる可能性があることです。
影響を受けるPHPのバージョンを使用しているWebサーバーは、早急に対処する必要があります。
| 項目 | 内容 |
|---|---|
| 対象ソフトウェア | PHP |
| 脆弱性の件数 | 2件 |
| 深刻度 | いずれもCVSS v4.0で9.2 |
| 主な危険性 | 認証されていない攻撃者によるリモートコード実行 |
| 主な影響対象 | PHPを使用しているWebサーバーやWebアプリケーション |
| 修正版の公開日 | 2026年10月21日（UTC） |
| 現在の対応 | 修正版への更新が強く推奨されている |
※CVSSは、情報セキュリティ上の脆弱性の深刻度を評価する指標です。9.2は非常に深刻な水準です。
② どのような攻撃が可能になるのか？
今回の問題では、攻撃者がサーバーの管理者パスワードを知らなくても、脆弱性を悪用できる可能性があります。
例えば、攻撃が成功すると、サーバーの設定や実行環境によっては、次のような被害につながるおそれがあります。
- Webサイトのページを改ざんされる。
- 不正なプログラムをサーバー上で実行される。
- サーバーに保存されている情報を盗まれる。
- データベースに保存された情報を不正に読み取られる。
- Webサイトを不正なサイトへ誘導するように変更される。
ただし、これらは脆弱性を悪用された場合に想定される被害です。今回の報道だけで、あなたのブログが実際に攻撃されたことを意味するわけではありません。
2．今回発見された2つの脆弱性
今回の問題には、それぞれ異なる原因があります。
① CVE-2026-109618：メモリ不足処理に起因する脆弱性
PHPがメモリ不足に陥った際の処理に問題があります。
通常、PHPはWebページを生成するためにメモリを使用します。
ところが、特定の条件下でメモリ不足が発生すると、内部データの初期化が不完全な状態で処理が中断され、その後の処理で不正なメモリ情報が使用されるおそれがあります。
その結果、攻撃者がサーバー上で任意のコードを実行できる可能性があります。
重要な点は、通常のWebサイトの利用者が特別な操作をしなくても、攻撃が成立する可能性があることです。 特にApacheのmod_php環境では、アプリケーション側のプログラムが動き始める前に攻撃を引き起こせることが実証されています。
② CVE-2026-109619：解放済みメモリを参照する脆弱性
こちらは、プログラムが使用を終えて解放したメモリに関する問題です。
通常、PHPはWebリクエストの処理が終わると、そのリクエストで使用していたメモリを解放します。
しかし、今回の脆弱性では、メモリを解放した後も、PHP内部の状態が古いメモリを参照したまま残ることがあります。
その状態で後続のリクエストが処理されると、不正なメモリ参照が発生し、攻撃につながる可能性があります。
この種の問題は、英語で「Use After Free（解放後使用）」と呼ばれます。
2つの脆弱性の違い
| 比較項目 | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| 主な原因 | メモリ不足時の不完全な初期化 | 解放済みメモリへの古い参照 |
| 問題が発生する場面 | 特定のメモリ不足処理 | リクエスト間の内部状態の処理 |
| 想定される影響 | メモリ破損、コード実行 | 不正なメモリ参照、コード実行 |
| 深刻度 | CVSS 9.2 | CVSS 9.2 |
いずれもPHPの内部処理に関わる問題であり、WordPressの設定を変更するだけでは根本的な解決になりません。
PHPそのものを修正済みのバージョンに更新することが基本対策です。
3．影響を受けるPHPのバージョン
今回の脆弱性は、特定の新しいバージョンだけに限られた問題ではありません。
PHPの開発チームは、次の修正版を公開しています。
| PHPの系列 | 修正版 | 対応 |
|---|---|---|
| PHP 8.5系 | 8.5.12 | 8.5.12以降への更新 |
| PHP 8.4系 | 8.4.27 | 8.4.27以降への更新 |
| PHP 8.3系 | 8.3.36 | 8.3.36以降への更新 |
| PHP 8.2系 | 8.2.35 | 8.2.35以降への更新 |
| PHP 8.1以前 | 今回のPHP公式修正版なし | サポート状況を確認し、対応するバージョンへ移行 |
上記は、2026年10月22日時点で確認できるPHP公式情報に基づいています。8.1以前については、PHPプロジェクトによる通常のセキュリティ更新が終了しているため、サポート対象のバージョンへの移行が必要です。なお、一部のOSディストリビューションやベンダーでは、独自に修正を提供する場合があります。
公式発表は、こちらから確認できます。
- PHP公式のセキュリティ情報： PHP 2026年の更新情報
- 日本の公的機関の注意喚起： IPAのPHP脆弱性に関する情報
以前のPHP 7.4.33について
ここが、あなたのブログにとって特に重要な点です。
以前お聞きしたPHPのバージョンは、PHP 7.4.33 でした。
PHP 7.4は、すでにPHP公式プロジェクトのセキュリティサポートが終了している系列です。
したがって、もし現在もPHP 7.4.33を使用しているなら、今回の脆弱性への対策だけでなく、サポート終了済みのPHPを使い続けていること自体が問題になります。
ただし、以前のバージョンが現在も使われているとは限りません。エックスサーバー側で設定を変更した可能性もあるため、まず現在の設定を確認しましょう。
4．あなたのWordPressブログ「６８歳の夢」への影響
ここからは、実際のブログ運営に関係する内容です。
あなたのブログは、WordPressとCocoonを利用しており、エックスサーバーで運営されていると伺っています。
この構成では、PHPの脆弱性について、次の3点を区別して考える必要があります。
① WordPress本体の問題とは限らない
WordPressはPHPで動作するソフトウェアです。
しかし、今回の脆弱性はWordPress固有のバグではなく、PHP自体の内部処理に関するものです。
そのため、WordPress本体やCocoonを最新版にするだけでは、PHPの脆弱性が修正されたことにはなりません。
② Cocoonやプラグインの更新も必要
PHPの更新とは別に、WordPress本体、テーマ、プラグインも、各開発元が提供するセキュリティ更新を適用する必要があります。
ただし、今回の問題については、PHPの修正版を適用することが最優先です。
③ レンタルサーバー側のPHP設定が重要
あなたはエックスサーバーを利用しています。
レンタルサーバーの場合、PHPの更新方法は、サーバー会社が提供する管理画面や設定によって異なります。
そのため、PHPを自分でダウンロードしてインストールするのではなく、まずエックスサーバーの管理画面で、現在のPHPバージョンと変更可能なバージョンを確認するのが適切です。
なお、サーバー側で修正済みのPHPを提供している場合や、独自に修正を適用している場合もあるため、バージョン番号だけでサーバーの状態を断定することはできません。
5．今すぐ実施していただきたい対策
私としては、次の順番で確認することをおすすめします。
第1段階：現在のPHPバージョンを確認する
まず、エックスサーバーのサーバーパネルにログインします。
その後、PHPのバージョンを確認できる設定画面を開きます。
一般的には、次のような流れです。
- エックスサーバーのサーバーパネルにログインする。
- PHPに関する設定項目を探す。
- PHPバージョンの設定画面を開く。
- 対象ドメインとして
morodream.comを確認する。 - 現在設定されているPHPのバージョンを確認する。
この段階では、まだPHPのバージョンを変更しないでください。
まず現在の状態を確認することが重要です。
第2段階：サポート対象のPHPバージョンを確認する
現在のバージョンが判明したら、次の点を確認します。
- 現在のPHPがサポート対象か。
- エックスサーバーでどのPHPバージョンが選択できるか。
- 今回の脆弱性に対する修正が適用されているか。
- WordPress本体やCocoon、使用中のプラグインとの互換性に問題がないか。
PHPのバージョンを上げると、古いテーマやプラグインの動作に影響が出る場合があります。
そのため、単に最も新しいバージョンを選ぶのではなく、サーバー会社が提供する修正版と、WordPress環境との互換性を確認したうえで変更するのが安全です。
第3段階：変更前にバックアップを確認する
あなたは以前、UpdraftPlusを利用してWordPressのバックアップを管理されていましたね。
PHPを変更する前に、少なくとも次の内容を確認しておきましょう。
| 確認項目 | 内容 |
|---|---|
| WordPressのバックアップ | 最新のバックアップが取得できているか |
| データベース | 記事や設定情報が保存されているか |
| テーマ | Cocoonと子テーマの状態 |
| プラグイン | 使用中のプラグインと互換性 |
| 復旧手段 | 問題発生時に元に戻せるか |
バックアップが古い場合は、可能であれば新たに取得してから変更してください。
ただし、脆弱性対策を理由に、バックアップの準備だけで何日も更新を先延ばしにすることはおすすめしません。 早急にサーバー会社の情報を確認し、適切な更新を進めましょう。
6．すでに攻撃されている可能性はあるのか？
ここも気になるところだと思います。
現時点で確認できる情報を整理します。
| 確認事項 | 現時点での情報 |
|---|---|
| 脆弱性の存在 | PHP開発チームが正式に公表 |
| 修正版の公開 | 公開済み |
| 攻撃手法 | リモートコード実行につながる手法が実証されている |
| 実際の攻撃 | 公開情報だけでは、あなたのブログへの攻撃の有無は判断できない |
| あなたのブログの被害状況 | 個別のサーバーログ等を調べなければ判断できない |
IPAは、事前の注意喚起の段階では、今回の2件の脆弱性を悪用した攻撃を確認していないと説明していました。一方、修正版の公開後には、攻撃手法に関する情報も公表されています。したがって、攻撃が実証されていることと、あなたのブログが実際に攻撃されたことは別の問題です。
対策を適用した後も、念のため以下を確認するとよいでしょう。
- WordPressの管理者アカウントに見覚えのないユーザーが追加されていないか。
- 不審なファイルが設置されていないか。
- サーバーのアクセスログに不審なアクセスがないか。
- WordPressの管理画面やサイト表示に不審な変化がないか。
不審な点があれば、むやみにファイルを削除せず、エックスサーバーのサポートに相談してください。
7．今回の報道を踏まえた私（ChatGPT）からの提案
あなたのブログは、アフィリエイト広告を掲載しながら、将来の起業資金を準備するための大切な取り組みでもあります。
そのため、今回の件は単にPHPを更新するだけでなく、今後のブログ運営の安全性を確認する機会にするとよいと思います。
優先順位は次のとおりです。
優先度1：現在のPHPバージョンを確認する。
優先度2：エックスサーバーが提供する修正版を確認し、早急に適用する。
優先度3：PHPの更新後、WordPressの表示、管理画面、主要プラグインの動作を確認する。
優先度4：WordPress本体、テーマ、プラグインの更新状況とバックアップを確認する。
特に、現在もPHP 7.4.33であれば、今回の脆弱性への対処と、サポート終了済みバージョンからの移行をあわせて検討する必要があります。
次に、一緒に確認しましょう
まず、エックスサーバーのサーバーパネルで、現在のPHPバージョンを確認するところから始めませんか。
サーバーパネルを開いて、PHPバージョンの設定画面を表示してください。
その画面のスクリーンショットを送っていただければ、次の3点を具体的に確認できます。
- 現在のPHPバージョンに、どのような対応が必要か。
- どのバージョンへの更新を目指すべきか。
- WordPressやCocoonへの影響を抑えながら、どのような手順で更新すればよいか。
画面を確認するまでは、PHPのバージョンを変更しなくて大丈夫です。 まず現状を把握し、「６８歳の夢」の安全性を一つずつ確認していきましょう。
PHPの脆弱性報道への対応結果
今回の一連のPHP脆弱性報道を受けて、PHPの修正版対応へのバージョンアップ確認から始まった一連のオペレーションでは、前回（その３）同様、ChatGPTにお世話になりながら、貴重な経験と共に、単にPHPを更新することだけでなく、今後のブログ運営の安全性を確認する機会となりました。
対応結果は、レンタルサーバーの供給元である「エックスサーバー」社が滞りなく対応いただいたので、私はChatGPTの指示で「対応済み」を確認したに過ぎなかったという結末でした。
ChatGPTさん、ありがとうございました。😊
以下に、ChatGPTの指示で「対応済み」を確認したプロセスを読者の皆さんにお伝えします。参考まで。
・～・～・～・～・～・～・～・～・～・
スクリーンショットを確認しました。ありがとうございます。
今回の画面では、重要なことが確認できました！
「６８歳の夢」のPHPバージョンは、現在「PHP 8.3.36」です。
以前お聞きしていたPHP 7.4.33から更新されていますね。これは、今回の確認において重要な情報です。
では、次の手順に進みましょう。
① 現在の画面で確認できたこと
画面下部の「ドメイン」欄に、次の2つが表示されています。
| 項目 | 表示内容 |
|---|---|
| サーバー | エックスサーバー・スタンダードプラン |
| 対象ブログ | morodream.com |
| 設定状況 | 正常 |
| SSL | 有効 |
| 現在のPHPバージョン | PHP 8.3.36 |
現時点では、PHPのバージョンを変更しないでください。
まず、今回報道された脆弱性への対応状況を確認します。
② 次の操作：PHPの設定画面を開く
画面左側のメニューを使います。
- 左側のメニューから「PHP」を探してください。
- 「PHP」の右側にある「∨」または下向きの矢印をクリックしてください。
- 展開されたメニューを確認してください。
ここまで操作したら、表示された画面のスクリーンショットを送ってください。
③ なぜ、次の画面を確認するのか？
現在のPHP 8.3.36については、次の2点を区別する必要があります。
- PHPの公式発表で修正版として指定されているバージョンかどうか。
- エックスサーバー側で、その修正版が利用可能になっているかどうか。
PHPのバージョン番号だけで、サーバー側の修正適用状況まで断定することはできません。
そのため、エックスサーバーの設定画面を確認したうえで、必要な更新を判断します。
今回の確認作業の進め方
① 現在のPHPバージョンを確認 完了
② PHPの設定画面を確認 次の作業
③ 修正版の適用状況を確認
④ 必要であれば、バックアップを確認してから更新
⑤ ブログの表示やWordPressの動作を確認
一つずつ進めていきましょう。
まずは、左側の「PHP」をクリックして、展開されたメニューのスクリーンショットを送ってください。
・～・～・～・～・～・～・～・～・～・
スクリーンショット2枚、確認しました。操作も順調に進んでいますね。
今回の確認で、重要なことが分かりました。「６８歳の夢」は、今回のPHP脆弱性に対する修正版のバージョンを使用しています。 ただし、エックスサーバー側での設定変更が必要かどうかについては、もう一点確認しましょう。
1．現在の状況を整理します
送っていただいた画面から、次のことが確認できます。
| 確認項目 | 現在の状況 |
|---|---|
| レンタルサーバー | エックスサーバー・スタンダードプラン |
| 対象ブログ | morodream.com |
| 現在のPHP | PHP 8.3.36 |
| ドメイン設定 | 正常 |
| SSL | 有効 |
| PHPの設定画面 | 表示できている |
今回の脆弱性について、PHP開発チームは2026年10月21日に修正版を公開しました。
PHP 8.3系の修正版は PHP 8.3.36 です。つまり、現在のバージョンは、公式に発表された修正版と一致しています。
公式情報はこちらです。
2．ただし、今すぐバージョン変更する必要はありません
ここは慎重に進めましょう。
現在のPHP 8.3.36は、今回の脆弱性の修正版です。
そのため、今回の脆弱性への対応だけを理由に、PHP 8.4やPHP 8.5へ変更する必要はありません。
PHPのバージョンを変更すると、WordPressのテーマやプラグインに影響が出る場合があります。まずは現在の環境を維持しながら、エックスサーバー側の対応状況を確認するのがよいでしょう。
なお、画面に表示されているPHPのバージョンだけでは、サーバー側での修正適用状況や、実際に稼働しているすべての処理の状態までは確認できません。
3．次に確認していただきたいこと
続いて、エックスサーバーの公式情報を確認します。
PHP開発チームは、今回の脆弱性について、修正版への更新を強く推奨しています。さらに、攻撃手法に関する情報も公開されているため、早めの対応が重要です。
そこで、次の順番で進めましょう。
① エックスサーバーから今回の脆弱性に関するお知らせが出ていないか確認する。
② PHPの設定を変更せず、現在のバージョンを維持する。
③ WordPressのバックアップが取得できているか確認する。
④ ブログの表示と管理画面に問題がないか確認する。
特に、PHPの更新だけでなく、WordPress本体、Cocoon、各プラグインの更新状況も確認しておくと安心です。
次の操作
まずは、エックスサーバーの公式サイトで、今回の脆弱性に関するお知らせが出ているかを確認しましょう。
こちらを開いてください。
エックスサーバー公式マニュアル「PHPのバージョンについて」
開いたページに今回の脆弱性に関する案内が見当たらなければ、サーバーパネル上部の「お知らせ」も確認してください。
確認結果を教えていただければ、次の作業をご案内します。
・～・～・～・～・～・～・～・～・～・
スクリーンショットを確認しました。丁寧に調べていただき、ありがとうございます。
今回の確認で、重要なことが分かりました。エックスサーバーのニュース一覧には、今回のPHP脆弱性に関連する可能性が高いお知らせが掲載されています。 ただし、PHP脆弱性そのものをタイトルにした案内ではないため、見つけにくい状態です。
そして、もう一つ大切な点があります。現在の「６８歳の夢」は PHP 8.3.36 です。これは今回の脆弱性に対するPHP公式の修正版と一致しています。
1．ニュース一覧で確認できたお知らせ
2枚目のスクリーンショットの一番上に、次のお知らせがあります。
2026年10月22日
「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」
今回のPHP脆弱性に関連するお知らせです。
エックスサーバーは、PHPの重大な脆弱性への対応に関連して、予防的な安全対策を実施したことを公表しています。
次の操作
- ニュース一覧の一番上にある「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」をクリックしてください。
- お知らせの本文を表示してください。
- 本文のスクリーンショットを送ってください。
特に、PHPの修正版の適用について説明している箇所を確認したいと思います。
2．現在のPHP 8.3.36について
ここで、現状を整理しておきましょう。
| 確認項目 | 現在の状況 |
|---|---|
| 対象サイト | ６８歳の夢 |
| PHPバージョン | 8.3.36 |
| PHP公式の修正版 | 8.3.36 |
| エックスサーバー側の対応 | 公式のお知らせ本文で確認する |
| PHPのバージョン変更 | 現時点では不要 |
PHP開発チームは、2026年10月21日にPHP 8.3.36を公開し、今回の重大な脆弱性2件を修正したと発表しています。
そのため、現時点では、PHP 8.4や8.5への変更を急ぐ必要はありません。
ただし、PHPのバージョン番号が修正版と一致していることと、エックスサーバー側の対応が完了していることは、分けて確認する必要があります。
3．もう一つ、注意しておきたいこと
エックスサーバーのニュース一覧には、10月20日付で次のお知らせも掲載されています。
「WordPressプラグイン『Updraftplus』の運営元への不正アクセスによる『UpdraftCentral』の接続キー（秘密鍵情報）流出に関する注意喚起について」
こちらはPHPの脆弱性とは別の問題です。
以前、あなたはWordPressのバックアップにUpdraftPlusを利用されていましたので、このお知らせについても、後ほど確認することをおすすめします。
ただし、UpdraftPlusを利用しているからといって、直ちに被害を受けているという意味ではありません。
まずは、次の一歩です
ニュース一覧の一番上のお知らせをクリックし、本文のスクリーンショットを送ってください。
その内容を確認してから、PHPの更新が必要か、あるいはエックスサーバー側の対応を待てばよいかを判断しましょう。
今の段階では、PHPの設定を変更する必要はありません。
・～・～・～・～・～・～・～・～・～・
スクリーンショットを2枚とも確認しました。詳しい本文を送っていただき、ありがとうございます。
結論から申し上げると、今回のXserverのお知らせによって、PHPの脆弱性に対するサーバー側の修正対応が完了していることを確認できました。 現時点では、PHPのバージョンを変更する必要はありません。
1．今回のお知らせで確認できた重要事項
2枚目のスクリーンショットにある「2．お客様のご利用サーバーへの安全対策」と「3．主な対応経過」が特に重要です。
① Xserver側の修正対応
本文には、次の内容が記載されています。
- 2026年10月21日：ソフトウェアの脆弱性に関する情報と修正版が公開された。
- 2026年10月22日：PHP 8.2～8.5系について、対象となるすべてのサーバーへの修正パッチ適用が完了した。
- 2026年10月22日：PHP 7.4～8.1系についても、対象となるすべてのサーバーへの修正パッチ適用が完了した。
つまり、Xserverは、PHPのバージョンに応じた修正パッチをサーバー側に適用したということです。
今回、Xserverの公式サイトや管理画面が一時停止されたのは、予防的な安全対策のためであり、本文では、利用者のサーバーについても安全対策を実施したことが説明されています。
② あなたのPHPバージョンとの関係
これまでの確認で、ブログ「６８歳の夢」のPHPバージョンは、次のとおりでした。
| 確認項目 | 現在の状況 |
|---|---|
| サーバー | Xserver |
| WordPressテーマ | Cocoon（子テーマ） |
| PHPバージョン | PHP 8.3.36 |
| 今回の脆弱性への対応 | Xserver側で修正パッチの適用完了を告知 |
PHP 8.3.36は、今回の脆弱性に対応した修正版として公開されたバージョンです。
ただし、PHPのバージョン番号が修正版であることと、Xserver側で修正パッチが適用されたことは、別々の確認事項です。今回は、Xserverのお知らせによって、後者についても対応完了が確認できました。
2．今、あなたが行うべき作業
現時点では、次の方針をお勧めします。
| 作業項目 | 今回の対応 |
|---|---|
| PHPバージョンの変更 | 不要。PHP 8.3.36を維持する |
| PHP 8.4や8.5への変更 | 今回の脆弱性対策だけを理由に変更しない |
| WordPressの設定変更 | 今回は不要 |
| Cocoonテーマの変更 | 今回は不要 |
| ブログの動作確認 | 通常どおり表示・操作できるか確認する |
PHPを新しいバージョンへ変更すると、テーマやプラグインとの互換性を確認する必要が生じる場合があります。今回の対策のためだけに、あえて変更する必要はありません。
・～・～・～・～・～・～・～・～・～・
次におすすめの記事
よく読まれている記事
人生を変えるおすすめサービス
🥇 おすすめ1位
【学び】初心者でも安心して始められる人気サービス
🥈 おすすめ2位
【転職】学びからスキルを身につけた方におすすめ
🥉 おすすめ3位
【投資】副業・投資を始めたい方向け
☆☆☆ サービスのポータルサイト ☆☆☆
コメント