PHPのバージョンの確認方法｜WordPressとレンタルサーバー5社の脆弱性への対応 2026

PHPのバージョンは、WordPressなら管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」欄で確認できます。レンタルサーバーを使っている場合は、サーバー会社の管理画面（エックスサーバーなら「PHP Ver.切替」）でも、ドメインごとに使っている版が分かります。2026年10月21日に公表されたPHPの重大な脆弱性（CVE-2026-109618／CVE-2026-109619、通称 php2shell）については、2026年10月30日時点で、エックスサーバー、ConoHa WING、さくらのレンタルサーバ、ロリポップ！、KAGOYA（レンタルサーバープラン）の5社が、PHP本体への修正の適用を終えたと公式に発表しています。共用のレンタルサーバーでは、PHP本体を直すのはサーバー会社で、どの版を使うかを選んでいるのは利用者です。まずやることは、自分の版を確かめ、8.1以前なら8.2以上（できれば8.3以上）へ切り替えることです。この記事では、確認の方法、5社の公式発表の内容と日付、版を変える前のバックアップと変えたあとの確かめ方を順に説明します。

PHPのバージョンを確認する方法は4つ

PHPのバージョンを確かめる方法は、サイトの作り方と、管理画面に入れるかどうかで選びます。WordPressで作ったサイトならサイトヘルス、レンタルサーバーの管理画面に入れるならその設定画面、どちらにも入れないならブラウザから外側を調べる方法があります。phpinfoを使う方法は確実ですが、使い方を誤ると危険です。

方法	向いている人	分かること	注意点
WordPressのサイトヘルス	WordPressの管理者	実際に動いているPHPの版	管理者権限が必要
レンタルサーバーの管理画面	サーバーの契約者	ドメインごとに選んでいる版	会社ごとに画面の場所が違う
ブラウザから調べる	管理画面に入れない人	外から見える範囲の版	版が隠されていると分からない
phpinfo	ファイルを編集できる人	版と設定の詳細	確認後すぐに削除する

WordPressのサイトヘルスで確かめる

WordPressの管理画面にログインし、左のメニューの「ツール」から「サイトヘルス」を開きます。上部の「情報」タブを押し、並んでいる項目の中から「サーバー」を開くと、「PHPバージョン」の行に版の番号が表示されます。WordPressの公式ドキュメントでは、このサーバーの欄について、サーバーの構成や各種のPHPの設定値が表示される場所だと説明しています。

同じ「情報」タブには、WordPress本体の版、使っているテーマ、有効なプラグインとそれぞれの版も並びます。サイトに関する情報をまとめてクリップボードにコピーする機能もあるため、制作会社やサーバー会社に相談するときに貼り付けて送れます。「ステータス」タブに「サイトが PHP の非常に古いバージョンで動作しています」と出ている場合は、版を上げる時期に来ているという合図です。

サイトヘルスに表示されるのは、そのサイトで実際に動いているPHPの版です。後で説明するとおり、一部のレンタルサーバーでは、修正を取り込んでも番号が変わらない方法をとっています。番号だけで「直っていない」と決めつけず、サーバー会社のお知らせと合わせて読むことが大切です。

レンタルサーバーの管理画面で確かめる

レンタルサーバーでは、PHPの版はドメインごとに管理画面で選ぶ仕組みになっています。主な5社の確認場所は次のとおりです（2026年10月30日時点の各社のマニュアルによる）。

サーバー会社	管理画面での場所
エックスサーバー	サーバーパネルの「PHP Ver.切替」。ドメインごとに現在の版が表示される
ConoHa WING	コントロールパネルの「WING」から「サイト管理」、「サイト設定」の「応用設定」タブにある「PHP設定」
さくらのレンタルサーバ	サーバーコントロールパネルの「スクリプト設定」にある「言語バージョン設定」
ロリポップ！	ユーザー専用ページの「サーバーの管理・設定」にある「PHP設定」
KAGOYA	コントロールパネル（場所は同社のマニュアルで確認）

さくらのレンタルサーバは、サーバーコントロールパネルに「初期ドメイン または追加されたドメイン」とパスワードでログインする必要があり、メールアドレスでログインするとメールの設定しか表示されないと案内しています。ロリポップ！は、PHP設定の画面で各ドメインの版が確認できると説明しています。

管理画面での確認は、WordPress以外のサイト（自作のPHPのプログラム、問い合わせフォームだけのページ、EC-CUBEなど）でも使えます。1つの契約に複数のドメインを登録している場合は、ドメインごとに違う版が選ばれていることがあるため、すべてのドメインの行を見てください。

ブラウザから外側を調べる

管理画面に入れない立場の人（制作を外注しているサイトの持ち主、確認を任された担当者など）は、ブラウザから調べる方法があります。PHPには、使っている版をHTTPの応答ヘッダーに含める設定（expose_php）があり、有効なサーバーでは「X-Powered-By: PHP/8.3.36」のような行が返ります。ブラウザの開発者ツールの「ネットワーク」タブで、ページの応答ヘッダーを見れば確かめられます。ただし、安全のためにこの表示を止めているサーバーも多く、表示が無いことは「PHPを使っていない」ことを意味しません。

開発者ツールに慣れていない場合は、URLを入れるだけで調べられるPHPの確認ツールも使えます。サイトを外から1回開いてサーバーの応答だけを見る仕組みで、PHPを使っているか、外から版が読み取れるかを「対応不要」「要対応」「要確認」の3つで返します。版が外から見えない場合は「要確認」となり、管理者へ確認を頼むための手順が表示されます。

phpinfoを使うときの注意

PHPの関数 phpinfo を書いたファイルをサーバーにアップロードし、ブラウザで開く方法もあります。PHPの公式マニュアルによると、phpinfo はPHPの版だけでなく、サーバーの情報、OSの版、ファイルのパス、設定値、環境変数など、多くの情報を出力します。

現在の PHP の状態に関する、多くの情報を出力します。出力される情報には、 PHP コンパイルオプションと拡張モジュール、PHP のバージョン、 サーバー情報と環境（モジュールとしてコンパイルされた場合）、 PHP の環境、OS バージョン情報、パス、構成オプションのマスター およびローカルの値、HTTP ヘッダ、PHP License などがあります。 出典: php.net

この情報は、攻撃する側にとっても手がかりになります。使う場合は、推測されにくいファイル名にし、確認が終わったらすぐにサーバーから削除してください。WordPressのサイトであれば、サイトヘルスで同じ版の情報が安全に見られるため、phpinfo を使う必要はほとんどありません。

番号の読み方

PHPの版は「8.3.36」のように3つの数字で表されます。最初の2つ（8.3）が系列で、最後の数字（36）がその系列の中での修正の回数です。今回の脆弱性では、PHPの開発チームが 8.5.12、8.4.27、8.3.36、8.2.35 を修正版として公開しました。サイトヘルスに「8.3.30」と出ていれば、8.3系の修正版（8.3.36）より古い番号ということになります。8.1、8.0、7.4 など8.2より前の系列は、開発チームのサポートが終わっており、修正版の番号そのものが公開されていません。

なぜ今、PHPのバージョンを確かめるのか

2026年10月21日、PHPの開発チームは、認証なしで外部からサーバー上のプログラムを実行されるおそれがある2件の脆弱性を公表し、修正版を公開しました。事前の予告では、どちらも危険度の指標（CVSS v4.0）で9.2と評価されています。IPA（情報処理推進機構）は、この2件の組み合わせが「PHP2shell」と呼ばれていると説明しています。

PHPの開発チームは、Webのリクエストを処理しているPHPはすべて対象だとし、PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed を挙げています。そのうえで、完全な回避策は無く、更新だけが安全な選択だと書いています。

There are no complete mitigations, updating is the only safe choice. （完全な緩和策は無く、更新だけが安全な選択です） 出典: php.net

IPAの注意喚起（2026年10月27日更新）によると、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、2026年10月26日（現地時間）に、この2件を「悪用が確認された脆弱性」の一覧（KEVカタログ）に掲載しました。IPAは国内での攻撃被害の事例は把握していないとしたうえで、対策済みの版への移行を進めるよう求めています。

ここで押さえておきたいのは、WordPress本体やプラグインを最新にしても、この問題は解消しないという点です。WordPressはPHPの上で動くプログラムで、今回の欠陥はその土台にあたるPHP本体にあります。直すにはPHP本体を修正版にするか、修正を取り込む必要があります。PHPの版を確かめる検索が増えているのは、この「土台の版」を確かめる必要が出てきたためです。

なお、PHPの開発チームは2026年10月23日に補足の情報を出し、セッションのアップロード進行状況の機能（session.upload_progress）に関わるまれな条件での別の問題について、次の通常のリリースで詳細を公表するとしています。それまでの間は、この機能を無効にしておくことを勧めています。共用のレンタルサーバーでは、この種の設定はサーバー会社が判断する範囲ですが、ロリポップ！は全バージョンでこの機能を無効にしたと発表しています。

レンタルサーバーでは「直すのは会社、選ぶのは利用者」

共用のレンタルサーバーを使っている場合、PHP本体はサーバー会社が用意し、管理しています。今回の修正も、各社が自社のサーバーに適用しており、利用者が自分でPHPを入れ直す必要はありません。この点は、5社の発表で共通しています。

一方、どの系列のPHPを使うかは、利用者が管理画面で選んでいます。8.1以前の系列を選んだままにしていると、今回は会社が独自の修正や応急の修正を入れていても、次に見つかる脆弱性では修正が提供されないおそれがあります。さくらインターネットとロリポップ！は、サポートが終わったPHPについて、今後も新しい脆弱性が見つかる可能性があるとして、サポートが続いている版を使うよう勧めています。

立場	やること
サーバー会社	PHP本体への修正の適用、サーバー全体の緩和策、管理画面や機能の一時停止と再開
利用者	公式のお知らせの確認、自分の版の確認、8.1以前なら8.2以上への切り替え、切り替え後の動作確認
利用者（WordPress）	本体、プラグイン、テーマを最新にし、更新が止まっているものが無いか確かめる

VPSやクラウドのように、OSやPHPを利用者が管理するサービスは事情が違います。エックスサーバーは、XServer VPS などのVPSでは会社がPHPの修正を適用していないとし、利用者自身で版を確認して修正版へ更新するよう求めています。さくらインターネットも、利用者がOSやソフトウェアを管理するサービスでは、PHPの状況を確認して修正版へ更新するよう案内しています。自分の契約が「共用のレンタルサーバー」なのか「VPS」なのかで、やることが大きく変わる点に注意してください。

主なレンタルサーバー5社の対応（2026年10月30日時点）

各社の公式発表を、2026年10月30日に開き直して確認した内容です。各社とも、状況に応じて更新するとしているため、最新の内容は必ず各社のお知らせで確かめてください。

会社	修正の完了（公式発表）	版の番号の扱い	利用者へのお願い
エックスサーバー	10月26日6時20分までにPHP 5.1から8.5の全対象サーバーで完了	8.2から8.5は同じ系列の修正版に更新。5.1から8.1は版を変えずに修正	今回の対策として急いで版を変える必要は無い
ConoHa WING	10月22日20時45分時点で完了	版の番号を変えずに修正を取り込む方法	版の変更は不要
さくらのレンタルサーバ	10月23日の追記で完了	提供中の版に修正を適用。サポート終了の版にも適用	サポート対象の最新の版の利用を推奨
ロリポップ！	10月22日13時頃にサイトの表示を再開	8.2から8.5は公式の修正版、7.4から8.1は公式の修正、5.3から7.3は自社で修正	8.2以降への切り替え、動作確認
KAGOYA	レンタルサーバープランは10月22日24時までに完了	7.4系と8.1から8.5系を修正版に更新	一部のプランは緩和策を順次実施中

エックスサーバー

エックスサーバーは、2026年10月21日12時までに修正版の公開前の緩和策を実施し、同日23時頃の修正版の公開後は、PHP 8.2から8.5を先に、続いてサポートが終了した旧バージョンにも修正を広げたと発表しています。2026年10月26日6時20分までに、PHP 5.1から8.5のすべての対象サーバーへの対応が完了したとしています。

対象は、エックスサーバー、XServerビジネス、XServer for WordPress です。PHP 8.2から8.5はそれぞれ同じ系列の修正版に更新し、5.1から8.1は利用者が設定している版を変えずに修正パッチを適用したと説明しています。そのうえで、今回の脆弱性への対策として、急いでPHPのバージョンを変更する必要は無いとしています。

また、エックスサーバーは2026年10月21日16時から、公式サイトや管理画面などへのアクセスを予防のために止めていました。この間も、利用者のサーバーは動き続けており、サイトの表示やメールソフトでの送受信には影響が無かったとしています。管理画面は10月22日9時30分から順次再開し、10月23日16時20分時点ではサーバーパネル、WEBメール、ファイルマネージャなどが再開しています。再開直後はアクセスが集中し、サーバーパネルが表示されにくい状態があったと追記しています。

ConoHa WING

ConoHa WINGは、2026年10月22日20時45分時点で、サーバーへのセキュリティパッチの適用が完了したと「終報」で発表しました。提供しているすべてのPHPの版に、利用中の版を維持したまま修正を適用したとし、利用者が版を変える必要は無いと案内しています。対応の間、ファイルマネージャーとWebメールを予防のために止めていましたが、同日18時30分頃に再開しています。

ConoHa WINGの発表で特に重要なのは、版の番号の表示についての注意書きです。

今回のセキュリティパッチは、PHPのバージョンを上げるのではなく、 ご利用中のバージョンのまま修正プログラムだけを取り込む方法で適用しております。 そのため、WordPressの「サイトヘルス」画面などでPHPのバージョンを確認された際に、 開発元が公開した修正版のバージョン番号（例：8.5.12）ではなく、 これまでと同じバージョン番号（例：8.5.11）が表示される場合がございます。 出典: conoha.jp

ConoHa WINGは、適用後の版として 5.6.40、7.0.33、7.1.33、7.2.34、7.3.33、7.4.33、8.0.30、8.1.34、8.2.34、8.3.35、8.4.26、8.5.11 を挙げ、表示される番号にかかわらず、すべての版に修正を適用済みだとしています。

さくらのレンタルサーバ

さくらインターネットは、2026年10月21日22時30分から予防的な緊急メンテナンスを行い、公開された情報を確認したうえで修正の適用を進めました。2026年10月23日17時30分の追記で、さくらのレンタルサーバについて、本脆弱性への必要な対応は完了しており、提供しているPHPに必要な修正を適用したと発表しています。サポートが終了しているPHPのうち、同社が提供している版にも修正を適用したとしています。

そのうえで、サポートが終了したPHPには、今回の脆弱性に限らず今後も新しい脆弱性が見つかる可能性があるとして、最新のサポート対象の版を使うことを勧めています。また、同社のマニュアルでは、契約した時期によって標準で設定されているPHPの版が違うと説明しています。長く契約しているサイトほど、古い版のまま動いている可能性があるため、一度は管理画面で確かめてください。

ロリポップ！

ロリポップ！は、5社の中で最も踏み込んだ対応をとりました。修正の適用が終わるまでの間、利用者のサイトを守るためとして、2026年10月22日3時9分頃から一部のサーバーでサイトの表示を止め、同日13時頃に表示を再開しています。停止はサーバー単位で行ったため、PHP 8.2以降を使っているサイトや、PHPを使っていないサイトも表示できない状態になっていたと説明しています。脆弱性を狙ったとみられるアクセスの試みは確認したものの、不正アクセスや情報漏えいは確認されていないとしています。

版ごとの対応は、PHP 8.2、8.3、8.4、8.5 には開発元の修正版（8.2.35、8.3.36、8.4.27、8.5.12）を適用し、7.4、8.0、8.1 には開発元が提供した修正を、5.3から7.3 には公式の修正内容をもとに自社で作った修正を適用したというものです。8.1以下の対策は応急的なもので、今後見つかる脆弱性には対応できない可能性があるとして、8.2以降への切り替えを求めています。

あわせて、すべての版で session.upload_progress の機能を無効にしたため、サイトの動作確認をするよう呼びかけています。ファイルのアップロードの進み具合を表示する機能を使っているサイトは、動きが変わっていないかを確かめてください。

KAGOYA

KAGOYAは、レンタルサーバープランについて、PHP 7.4系と8.1系から8.5系の修正版への更新を、2026年10月22日14時40分から24時までの間に順次行い、完了したと発表しています。

一方、マネージド専用サーバープラン、共用サーバープラン、WordPress専用サーバープランは、別の扱いです。2026年10月28日19時30分時点の同社のサービス状況では、共用サーバーは10月30日に、マネージド専用サーバーは10月28日から30日にかけて緩和策を順次実施し、WordPress専用サーバーは緩和策を準備中としています。同社は、緩和策は一時的な対策であり、根本的な対策としてレンタルサーバープランへの変更と、脆弱性対策済みの版への移行を求めています。それまでの間は、サイトの公開停止（メンテナンス画面への切り替え）やアクセス制限の検討を呼びかけています。KAGOYAを使っている場合は、まず自分の契約がどのプランかを確かめることが出発点です。コントロールパネルは2026年10月26日14時に再開しています。

番号が古いままでも直っている場合がある

5社の発表を並べると、版の番号の扱いが会社によって違うことが分かります。ロリポップ！やKAGOYAのレンタルサーバープランのように、開発元の修正版に更新した会社では、サイトヘルスに 8.3.36 のような新しい番号が出ます。ConoHa WINGのように、番号を変えずに修正だけを取り込んだ会社では、8.3.35 のように修正版より古い番号が出たままでも、修正は済んでいます。エックスサーバーは、8.2から8.5は同じ系列の修正版に更新し、5.1から8.1は版を変えずに修正したと説明しています。

このため、PHPのバージョンを確認したときの判断は、次の順で行うと迷いません。

1. サイトヘルスか管理画面で、使っている版の番号を確かめる
2. 番号が修正版（8.5.12、8.4.27、8.3.36、8.2.35）以上なら、今回の脆弱性への対応は済んでいる
3. 番号が修正版より古い場合は、サーバー会社の公式のお知らせで、今回の脆弱性への対応が完了しているかを確かめる
4. 系列が8.1以前なら、今回の対応が済んでいても、8.2以上の系列への切り替えを計画する

番号だけを見て「直っていない」と慌てて版を変えると、プラグインが動かなくなるなどの別の問題を招くことがあります。逆に、「会社が直したから」と8.1以前のまま放置すると、次の脆弱性で同じことが起きたときに修正が提供されないおそれがあります。版の番号と会社のお知らせを、必ず組み合わせて読んでください。

SNSでは、各社の対応について未確認の情報や古い情報も流れています。判断の根拠にするのは、サーバー会社の公式サイトのお知らせと、PHPの開発チームやIPAの発表に限るのが安全です。

8.1以前なら8.2以上へ：版の変え方と、変える前のバックアップ

どの版を選ぶか

PHPの公式サイトによると、2026年10月30日時点でサポートが続いている系列は 8.2、8.3、8.4、8.5 です。このうち8.2は、セキュリティの修正が2026年12月31日で終わります。8.3は2027年12月31日、8.4は2028年12月31日、8.5は2029年12月31日までセキュリティの修正が提供される予定です。

系列	セキュリティ修正の期限	今回の修正版
8.5	2029年12月31日	8.5.12
8.4	2028年12月31日	8.4.27
8.3	2027年12月31日	8.3.36
8.2	2026年12月31日	8.2.35
8.1以前	終了	開発元の修正版は無い

WordPressの公式サイトは、推奨する環境として「PHP version 8.3 or greater」（PHP 8.3以上）を挙げています。8.2に上げても約2か月でサポートが終わるため、8.1以前から切り替えるなら、使っているテーマやプラグインが対応していることを確かめたうえで、8.3以上を選ぶのが現実的です。

変える前にバックアップを取る

PHPの版を変えると、古いプログラムがエラーを出してサイトが表示されなくなることがあります。ロリポップ！のマニュアルも、版を変えると利用しているプログラムによってはサイトが正常に動かない可能性があるとして、事前の準備を求めています。変える前に、次の2つのバックアップを取ってください。

1. サイトのファイル（WordPressなら wp-content フォルダの中のテーマ、プラグイン、アップロードした画像など）
2. データベース（記事、固定ページ、設定、問い合わせの記録など）

多くのレンタルサーバーには、管理画面からバックアップを取ったり、自動で取られたバックアップから戻したりする機能があります。WordPressのバックアップ用プラグインを使う方法もあります。どの方法でも、取ったバックアップが手元のパソコンや別の場所にも保存されているかを確かめておくと、いざというときに戻せます。

ロリポップ！の場合、PHP 7.1未満の版から上げると元の版に戻せないとマニュアルに書かれています。古い版から上げる場合ほど、バックアップの重要性が増します。

変える順番

いきなりPHPの版を変えるのではなく、次の順で進めると失敗が減ります。

1. WordPress本体、プラグイン、テーマを最新にする（新しいPHPに対応した版が出ていることが多い）
2. 長い間更新されていないプラグインやテーマが無いかを確かめ、使っていないものは停止して削除する
3. サイトのファイルとデータベースのバックアップを取る
4. 管理画面でPHPの版を切り替える
5. サイトを開いて動作を確かめる

ロリポップ！は、WordPressを使っている利用者に対して、本体だけでなくPHPの版、プラグイン、テーマが最新か、開発や更新が続いているかを確かめるよう呼びかけ、更新が止まっているプラグインやテーマは新しい脆弱性の原因になることがあるとしています。ステージング（テスト用の環境）を使える場合は、先にそこで版を変えて表示を確かめると安心です。

各社の切り替えの手順は、エックスサーバーは「PHP Ver.切替」でドメインの右のペンのアイコンを押して「変更後のバージョン」を選ぶ方法、ConoHa WINGは「PHP設定」の「PHPバージョン」の鉛筆のアイコンから選んで保存する方法、さくらのレンタルサーバは「スクリプト設定」の「言語バージョン設定」から選ぶ方法、ロリポップ！は「PHP設定」で版を選んで「変更」を押す方法です。ロリポップ！は、変更が反映されるまで5分から10分ほどかかると案内しています。

変えたあとに確かめること

切り替えが終わったら、次の項目を実際に操作して確かめます。

確かめる項目	見る点
トップページと主なページ	白い画面やエラーの文が出ていないか、レイアウトが崩れていないか
問い合わせフォーム	送信でき、通知のメールが届くか
WordPressの管理画面	ログインでき、記事の編集と保存ができるか
画像やファイルのアップロード	管理画面からアップロードできるか
予約や決済の機能	普段どおりの手順で最後まで進めるか
サイトヘルス	PHPバージョンの欄が選んだ版になっているか

問い合わせフォームは、表示されていても送信できない、送信できても通知のメールが届かない、という壊れ方をすることがあります。自分で1回送信し、メールが届くまで確かめてください。

エラーが出たとき

切り替えたあとにエラーが出た場合は、まず管理画面で元の版に戻し、サイトが表示される状態にします。そのうえで、エラーの原因になっているテーマやプラグインを特定し、更新するか、別のものに入れ替えます。ロリポップ！は、切り替え後にエラーが表示される場合は、プログラムやアプリケーションの更新が必要になると案内しています。

ロリポップ！では、版を変えたときにデータベースに接続できないというエラーが出る場合に、データベースのパスワードの形式を変える手順をマニュアルで説明しています。エラーの文はそのまま書き写し、サーバー会社のサポートや制作会社に相談するときに伝えると、原因の切り分けが早くなります。

制作を外注している、または管理画面に入れない場合

会社や店舗のサイトを制作会社に作ってもらい、その後の管理も任せている場合、持ち主自身は管理画面に入れないことがよくあります。その場合は、次の4点を依頼先に確かめてください。

1. サイトが動いているサーバーの会社とプラン（共用のレンタルサーバーか、VPSか）
2. 使っているPHPの版と、今回の脆弱性（CVE-2026-109618／CVE-2026-109619）への対応が済んでいるか
3. 版が8.1以前の場合、8.2以上（できれば8.3以上）へ切り替える予定と時期
4. WordPress本体、プラグイン、テーマの更新を誰が、どのくらいの間隔で行っているか

VPSや専用サーバーで動かしている場合、修正を適用するのはサーバーの管理者で、サーバー会社ではありません。保守の契約が終わっていて誰も更新していないサイトは、今回のような脆弱性でそのまま狙われる側に回ります。IPAも、PHPを長期間更新していないシステムでは、開発時の資料の不足や担当者の不在、保守契約の終了で対策が難しくなっている場合があるとして、更新や移行、場合によっては公開の終了も含めて検討するよう求めています。

依頼先に連絡がつかない、返事が来ないという場合でも、ブラウザから調べる方法で、外から版が見えるかどうかは確かめられます。外から古い版が読み取れる場合は、攻撃する側からも同じように見えているということです。

サイトの管理を任せられる人材と、仕事の広がり

2026年10月21日から22日にかけて、5社のうち複数の会社が管理画面やファイルマネージャーを止め、ロリポップ！は一部のサーバーでサイトの表示まで止めました。サーバー会社に任せている部分は会社が直しますが、版の選び方、プラグインの整理、切り替え後の動作確認は、利用者の側に残ります。中小企業や個人のサイトでは、この「利用者の側の作業」を担う人がいないことが、今回のような場面で問題として表に出てきます。

フリーランスや在宅ワークの仲介の現場を長く見ていると、サイトの制作を一度発注したあと、保守の担い手がいないまま何年も運用されているサイトは珍しくありません。PHPの版を確かめ、バックアップを取り、切り替えて動作を確かめるという一連の作業は、定型化しやすい一方で、WordPressとサーバーの両方が分かる人でないと安心して任せられません。こうしたセキュリティや保守の仕事の内容は、在宅ワーク仲介サイトのガイドAI・マーケティング・セキュリティのお仕事で、企業の情報セキュリティ対策を支援する仕事として紹介されています。PHPやWordPressのプログラムそのものを直す作業は、アプリケーション開発のお仕事の範囲に入ります。

自社でサイトを持つ側にとっては、今回の件はセキュリティ対策全体を見直すきっかけにもなります。補助金を使って防御を整える考え方は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で、自社のサイトの弱点を自分で調べる方法はオープンソースで始めるWebサイト脆弱性診断｜OWASP ZAPの使い方ガイドで説明しています。制作会社や保守の委託先など、取引先から入り込まれる危険への備えは取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理が参考になります。

PHPのバージョンの確認は、サイトヘルスか管理画面を開けば数分で終わる作業です。2026年10月30日時点で5社の修正は進んでいますが、8.1以前の系列を選んだままのサイトは、次の脆弱性で同じ問題に直面します。番号と会社のお知らせを確かめ、必要ならバックアップを取ってから切り替える。この順番を一度経験しておくことが、次に同じような発表があったときの備えになります。

よくある質問

Q. PHPのバージョンはどこで確認できますか？

WordPressなら管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」欄で確認できます。レンタルサーバーの場合は管理画面でも確認でき、エックスサーバーは「PHP Ver.切替」、ロリポップ！は「PHP設定」、ConoHa WINGは「サイト設定」の「応用設定」にある「PHP設定」で、ドメインごとの版が表示されます。

Q. サイトヘルスの番号が修正版より古いのは、直っていないということですか？

必ずしもそうではありません。ConoHa WINGは、版の番号を変えずに修正だけを取り込む方法で全バージョンに修正を適用したため、8.5.11 のように修正版より古い番号が表示される場合があると案内しています。番号が古い場合は、サーバー会社の公式のお知らせで、今回の脆弱性への対応が完了しているかを確かめてください。

Q. レンタルサーバーを使っていれば、自分では何もしなくてよいですか？

PHP本体への修正はサーバー会社が行うため、自分でPHPを入れ直す必要はありません。ただし、どの系列の版を使うかは利用者が選んでいます。8.1以前を選んでいる場合は、今回は会社が修正していても今後の脆弱性で修正が提供されないおそれがあるため、バックアップを取ったうえで8.2以上、できれば8.3以上へ切り替えてください。

Q. PHPの版を上げるとサイトが壊れることはありますか？

古いテーマやプラグインが新しい版に対応していないと、エラーで表示されなくなることがあります。切り替える前にWordPress本体、プラグイン、テーマを最新にし、ファイルとデータベースのバックアップを取ってください。切り替え後はトップページ、問い合わせフォーム、管理画面のログインを確かめ、エラーが出たら元の版に戻してから原因のプラグインなどを更新します。