PHP脆弱性チェック

結果は、この3つのどれかで出ます

• 対応不要PHP が修正版以上だった、PHP を使っていない、または Shopify・Wix などの作成サービスで運営会社が更新する場合。
• 要対応PHP の版が読み取れて、修正版より古い場合。サポートの終わった 8.1 以前も含みます。管理者に送る文面をご用意します。
• 要確認PHP を使っているが版が外から見えない場合、または外からは判断できない場合。確認の手順と、管理者に送る文面をご用意します。

何が起きたのか

自分で確認する手順

PHP を更新する

1. 更新の前に、サイトのファイルとデータベースのバックアップを取る
2. サーバー会社の管理画面で、PHP の版を修正版以上に切り替える（自分で運用している場合はパッケージを更新する）
3. サイトを開いて、表示・ログイン・お問い合わせフォーム・決済など、主な動きが変わっていないかを確認する
4. 古いテーマやプラグインが新しい PHP で動かない場合は、そのテーマやプラグインを更新するか、代わりのものに替える
5. 終わったら、このページでもう一度チェックする

自分で進めるのが難しい場合、管理者や制作会社と連絡が取れない場合は、下の「ご相談」からお知らせください。無料でご相談を受け付けています。

よくある質問

Q. WordPress やプラグインを最新にすれば大丈夫ですか？

いいえ。今回の問題は WordPress ではなく、その土台の PHP にあります。WordPress やプラグインを最新にしても解消しません。PHP を修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 のいずれか）以上に更新する必要があります。

Q. このチェックは何を見ているのですか？

入れられた URL のサイトを外から1回開き、サーバーが返す応答（X-Powered-By などのヘッダー、Cookie、ページの中身）から PHP の版と痕跡を読み取ります。版が読めれば修正版と比べ、読めなければ WordPress などの痕跡の有無で「要確認」とします。サイトの中に入ったり、変更を加えたりはしません。

Q. 「要確認」と出ました。危ないのですか？

危ないと決まったわけではありません。多くのサイトは、安全のために PHP の版を外に出していないため、外からは判断できません。WordPress なら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で版を確認できます。管理者か制作会社に、画面に出る文面を送って確認してもらうのが確実です。

Q. 「要対応」と出ましたが、サーバー会社は対応済みだと言っています。

サーバー会社によっては、版の番号を変えずに修正だけを入れていることがあります。その場合は番号が古いままでも安全です。サーバー会社のお知らせで、今回の脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応が済んでいるかをご確認ください。

Q. PHP 8.1 以前を使っています。どうすればいいですか？

PHP 8.1 以前は公式のサポートが終了しており、修正版は提供されません。サポート中の版（8.2 以上。8.2 も2026年末でサポート終了のため、できれば 8.3 以上）へ移行する必要があります。古いテーマやプラグインが新しい PHP で動かないことがあるので、移行の前にバックアップを取り、動作を確認してください。

Q. チェックしたサイトの URL は保存されますか？

入れられた URL と判定の結果は、ツールの改善のために記録します。お名前やメールアドレスなど、個人を特定する情報は記録しません。接続元は日ごとに変わるハッシュにして残します。

Q. ＠SOHO 自体は大丈夫ですか？

＠SOHO のサイトは Node.js で動いており、PHP を使用していません。今回の問題による影響はありません。