PHPの脆弱性対策とWordPress保守｜2026年10月の問題から考える継続管理

PHPの脆弱性対策で大切なのは、今回の修正を適用することと、その後も更新を続ける体制を整えることです。
サーバーの契約を更新していても、WordPressの管理画面に入れていても、それだけで必要な対策が済んでいるとは限りません。

更新の判断、更新後の確認、不具合が起きた場合の復旧を継続して担える自信がなければ、制作会社との保守管理契約を強くお勧めします。
小規模な会社のサイトや、更新頻度の低いサイトでも、この考え方は同じです。

この記事は、企業サイトの経営者・Web担当者に向けて、2026年10月のPHP脆弱性問題を踏まえた対応方針と、保守を任せる際の判断点を解説します。
技術情報の確認日は2026年10月30日です。修正や追加告知は更新されるため、実際の対応時には提供元の最新情報も確認してください。

2026年10月のPHP脆弱性問題で、サイト運営者が知っておきたいこと

PHP2shellの対象はPHP本体

PHPは、WordPressなどのWebアプリケーションをサーバー上で動かすために使われるプログラミング言語です。
PHP本体に問題があれば、その上で動くサイトも利用環境に応じて影響を受ける可能性があります。

IPAの注意喚起では、CVE-2026-109618とCVE-2026-109619を組み合わせた問題が「PHP2shell」として案内されています。
悪用された場合、外部の第三者に任意のコードを実行されるおそれがあり、対応状況の確認と修正が必要です。

IPAの10月27日更新では、米国CISAが悪用された脆弱性の一覧に追加したことも報告されています。
一方、同時点のIPAは国内の攻撃被害を把握していないとしています。広く使われる技術の重要な問題ですが、すべてのサイトが侵害されたという意味ではありません。

WordPressが最新でもサーバー側の確認は必要

WordPress本体、テーマ、プラグインと、PHP本体は更新の対象が異なります。
WordPressの更新ボタンを押しただけで、サーバーのPHPまで修正されるわけではありません。

今回の問題についてPHP公式は修正版を公表しています。ただし、その後も別条件の注意情報やWindows向けパッケージの追加更新が出ています。
一度確認したバージョン番号だけを頼りに「今後も対策済み」と判断せず、利用環境に該当する追加告知まで管理担当者が確認することが必要です。 詳細はPHP公式の2026年告知一覧で確認できます。

まず制作会社・サーバー会社に、対策の適用状況を確認する

利用中のサービスと管理担当を確かめる

最初に確認したいのは、サーバーのサービス名と、PHP・WordPressそれぞれの管理担当です。
レンタルサーバーを使っている場合でも、サーバー会社が担う範囲と、サイト運営者や制作会社が担う範囲は契約によって異なります。

表は担当を整理するための区分で、どのサーバー会社もすべて対応してくれるという意味ではありません。
制作会社とサーバー会社の双方に契約がある場合は、誰が完了を確認して報告するかまで決めてください。

バージョン番号だけで対策済みか判断しない

サービス提供元が、従来のバージョンへ修正だけを適用する場合があります。これをバックポートと呼びます。
その場合、画面に表示される番号だけでは修正の有無を判断できません。

例えば、さくらインターネットの対応案内は、対象のレンタルサーバー等で提供するPHPへの対応と、一部の古い系列では番号が変わらないことを説明しています。
一方、利用者が独自にインストールしたPHPは同じ扱いではありません。必ず自分のサービスと利用方法に該当する案内を確認します。

一時的に修正が適用されたことと、古い環境を長期間使い続けてよいことも別です。
緊急対応の確認後は、サポート中の環境へ移行する計画も保守担当と相談しましょう。

表示が正常でも侵害がないとは限らない

トップページが開くことだけでは、サイト全体の安全性は判断できません。
見覚えのない管理者、意図しない転送、不審なファイルや通知などがあれば、通常の更新作業とは分けて相談する必要があります。

疑わしい状態では、手当たり次第にファイルを消したり、更新だけで解決したと判断したりしないでください。
ログや通知などを保全し、サーバー会社や対応可能な専門窓口へ連絡して、調査・封じ込め・復旧の方針を確認します。

サーバーもWordPressも、継続して最新の状態を保つ

サポート中のPHPとサーバー環境を維持する

サーバー環境は、初めてサイトを公開したときのまま使い続けられるものではありません。
OSやPHPなど、それぞれの提供元がサポートしている期間と、利用サービスの対応方針を管理する必要があります。

PHP公式のサポート状況には、系列ごとのサポート期間が掲載されています。
必要なのは「新しそうな番号を選ぶこと」ではなく、サポート中の環境に修正を適用し、サイトとの互換性を確認して維持することです。

更新すると動かなくなるため古いPHPに戻したまま、という状態は解決ではありません。
原因となっているテーマや独自機能の改修と、移行までの対応を制作会社と整理してください。

WordPress本体・テーマ・プラグインも更新する

WordPress公式の更新案内でも、最新バージョンへの更新と、更新前のバックアップが案内されています。
本体だけでなく、使用するテーマやプラグインの修正も継続して適用しましょう。

更新前には復元できる状態を確保し、更新後には主要ページ、問い合わせフォーム、予約・購入など、そのサイトに必要な機能を確認します。
管理画面にエラーが出ていないことと、お客様が問題なく使えることは同じではありません。

不要・重複・更新停止プラグインを整理する

機能を増やすたびにプラグインを追加すると、更新対象や組み合わせの確認も増えていきます。
似た役割のもの、過去に試しただけのもの、利用していないものを残し続けないようにしましょう。

導入数だけで安全性は決まりません。少数でも放置されたものがあれば問題になり得るため、必要性、提供元、更新状況、他の機能への依存を確認します。
不要と判断したものは、停止だけで残すのではなく、設定やデータへの影響を確認したうえで削除を検討してください。

必要な機能があり、代替を調べる必要があるものは、単純に削除できません。
業務に影響する選別も含めて保守担当に任せると、使っている理由が不明な機能を減らしていけます。

自動更新を有効にし、更新後の確認まで続ける

自動更新は更新漏れを減らす基本の仕組み

WordPress本体・テーマ・プラグインでは、利用環境に応じて自動更新を有効にし、更新漏れを減らす方針を基本にしましょう。
「不具合が怖い」という理由だけで、更新を無期限に止めることは勧められません。

重要な機能について、保守担当が事前検証してから更新する運用もあります。
その場合は、対象、確認担当、修正の緊急度に応じた対応期限を決め、自動更新を使わない部分にも更新が行き届くようにします。

バックアップ・失敗通知・動作確認を組み合わせる

WordPress公式のテーマ・プラグイン自動更新の説明では、更新時の通知や、環境によって自動更新が正常に動かない場合があることも案内されています。
設定を有効にした後も、失敗通知を受け取る担当者と、対応する人が必要です。

バックアップは、保存されているだけで安心せず、必要なデータが含まれるか、どこまで戻せるか、誰が復元するかを確認します。
更新に失敗したときの連絡先が決まっていれば、経営者が突然すべてを判断する状態を避けやすくなります。

なお、WordPressの自動更新設定は、サーバーのPHP更新を保証するものではありません。
管理対象を分けながら、全体を確認する人を置くことが重要です。

小規模サイトも定期点検を省略しない

数ページの会社案内サイトや、個人で運営する小規模サイトでも、定期的な確認は必要です。
更新、バックアップ、動作確認を、担当者の空き時間や気づいたときだけの作業にしないでください。

点検日を決めることに加え、重大な脆弱性の告知が出たとき、更新に失敗したとき、更新を適用した後にも対応します。
「月に一度確認しているから、次回までは待つ」とは判断できません。

この確認を継続することや、異常時の判断に自信がない場合は、サイトが小さくても保守管理契約を結ぶことをお勧めします。
規模よりも、誰が継続して責任を持つかが重要です。

更新・復旧に自信がなければ、制作会社との保守管理契約を勧めます

安心材料は、継続して対応する担当者がいること

保守契約の価値は、更新ボタンを代わりに押してもらうことだけではありません。
修正情報を確認し、サイトへの影響を判断し、更新後の確認や必要な復旧まで、相談できる担当者がいることが大きな安心材料になります。

WordPress公式のセキュリティ資料も、サーバー側とサイト側の責任範囲、バックアップ、継続的な管理を扱っています。
対策はリスクを減らすための取り組みであり、契約するだけで被害が絶対に起きなくなるというものではありません。

それでも、知識や時間が足りないまま自己判断で運営を続けるより、対応範囲を決めた専門の担当者を確保することを勧めます。
更新作業を自分で行える場合でも、トラブルの判断や復元まで担えるかを基準に考えてください。

更新・バックアップ・障害対応の範囲を契約前に確かめる

サーバー代を支払う契約と、WordPressの保守作業を依頼する契約は同じとは限りません。
「保守付き」という名称だけで判断せず、作業内容を確かめます。

確認したいのは、更新対象、確認頻度、バックアップの範囲、障害時の連絡先と対応時間、復元作業、追加料金になる作業です。
脆弱性が公表された際、誰が影響を調べ、対応の要否を連絡するかも相談してください。

社内担当者と制作会社で分担する場合も、双方が「相手がやっている」と思い込まないよう、対象を明確にします。
月次の報告だけでなく、緊急時の連絡方法まで決まっていることが重要です。

保守費だけでなく対応体制を見る

費用を比較するときは、同じ作業範囲と対応条件で比較しましょう。
更新は含むが復旧は別料金、連絡受付と実作業の対応時間が異なる、といった違いがあるためです。

詳しい比較の考え方は、ホームページ保守費用と契約範囲の確認方法でも解説しています。
安さだけで選ぶのではなく、自社で対応できない部分を任せられるかを確認してください。

更新できない古いサイトは、改修・リニューアルも検討する

古いテーマや独自機能が更新を止めていないか

更新のたびに重要な機能が止まる場合は、その原因を調べる必要があります。
保守が終了したテーマ、置き換えが必要なプラグイン、古いPHPを前提にした独自機能などが、更新を続けにくくしていることがあります。

この状態で更新を止めたままにしても、長期的な維持管理の問題は残ります。
まず必要な修正を急ぎ、そのうえで同じ問題を繰り返さない構成に整理することを検討しましょう。

保守で維持するか、構成から見直すか

古いサイトだからといって、必ず全面リニューアルが必要とは限りません。
問題のある機能の部分改修、テーマやプラグインの整理、サーバー移行で対応できるかを確認します。

一方、更新できない箇所が多く、事業に必要な機能も変わっている場合は、維持費や今後の作業量を含めてリニューアルと比較する価値があります。
デザインの変更だけでなく、更新を続けやすい構成と保守体制まで見直すことが大切です。

改修範囲の考え方は、ホームページリニューアルの進め方も参考にしてください。
緊急の対策と中長期の作り直しは分けて相談し、完成まで脆弱な状態を放置しない方針を取ります。

PHP・WordPressの保守とサイト見直しを、アセントウェブに相談する

現在のサイトを確認して、必要な対応範囲を整理する

アセントウェブでは、Webサイトの保守・運用として、構成・更新状況・バックアップなどを確認し、必要な対応範囲をご相談いただけます。
既存サイトの引き継ぎも、現在の構成や更新量を確認してご案内します。

「PHPの対応状況が分からない」「更新を任せる人がいない」「古い構成のため更新が止まっている」といった状態でも、まず現在のサイトURLと困りごとをお知らせください。
最初のお問い合わせに管理画面のパスワードを記載する必要はありません。

継続的な保守で維持するか、改修やリニューアルが必要かを整理し、対応範囲と費用をご案内します。
自分だけで判断し続けることに不安がある場合は、問題が起きてからではなく、平常時から保守の相談先を確保しましょう。