- WordPressのサイトも影響を受けます。php2shellはPHP本体の脆弱性で、WordPressが動いているサーバーのPHPが古ければ対象です。
- WordPress公式は「WordPressの更新は不要で、予定もない」としています。直すのはサーバーのPHPで、ホスティング会社の更新予定を確かめるよう呼びかけています。
- WordPress.com、Pressable、SiteGround、Kinstaなど、PHPを会社側で管理しているWordPress向けホスティングは「利用者の作業は不要」としています。
- Wordfence・Patchstack・Sucuriは、どれも「PHPの更新が唯一の完全な対策」としています。WAF（攻撃を途中で止める仕組み）の新しいルールを出したと書いているのはSucuriです。
WordPressは影響を受けるのか
受けます。2026年10月21日に修正版が出たPHPの脆弱性2件（CVE-2026-109618 / CVE-2026-109619、通称「php2shell」）は、PHPという土台のソフトの欠陥です。WordPress公式は、この脆弱性はWordPressに限った話ではなく、PHPのアプリを動かすすべてのサーバーに影響するとしています［WordPress.org News］。
WordPressのセキュリティ企業Patchstackは、報告した研究チーム（Wiz Research）が最新のWordPressなどで、ログインなしにサーバー上でコードを動かせることを実証したと紹介しています［Patchstack］。脆弱性の全体像と修正版の番号は「php2shellとは」で解説しています。
公式・各社の発表の一覧
各社の公式サイト・公式Xに出ている発表だけをまとめました。日時は日本時間に直しています（各ページに書かれた公開・更新時刻をもとにしています）。報道やSNSの個人の投稿は含めていません。
| 提供元 | 発表の要点 | 利用者がやること | 出典（日時） |
|---|---|---|---|
| WordPress公式（WordPress.org） | PHPの脆弱性はWordPress固有ではない。WordPressの更新は不要で、予定もない。PHP 8.2より前はセキュリティ更新が出ない | ホスティング会社の更新を確かめ、必要ならすぐPHPを更新。PHPのバージョンはサイトヘルスで確認 | WordPress News（10/21 22:44）／公式X（10/21 23:02） |
| Wordfence（セキュリティプラグイン） | WordPressの自動更新では直らない。PHPをサーバーで更新する必要がある。調査中で、必要に応じて続報を出す | サイトヘルスでPHPを確認。ホスティング会社に更新済みかを確かめる | Wordfence Blog（10/22 1:49） |
| Patchstack（脆弱性対策サービス） | 複数のホスティング会社から悪用の報告を受けた。修正版公開の直後は、探りを入れる攻撃のみで侵害の確証はまだないとしている | PHPを修正版へ更新。非公式の「修正プラグイン」や貼り付けるコードは使わない | Patchstack（10/21付、経過は22:57まで記載） |
| Sucuri（WAF・セキュリティ） | 自社WAFに仮想パッチ（攻撃の通信を止めるルール）を追加。ただしWAFはPHPの更新の代わりにならない | 共用・マネージドなら会社が修正版を入れたか確認。WAF利用者はサーバーへの直接アクセスを塞ぐ | Sucuri Blog（10/22 6:12） |
| Automattic（WordPress.com・WordPress VIP・WP Cloud・Pressableなど） | 運営するサイトはすべて対策済み | なし | Automattic（10/22 1:16、6:30更新）／WordPress.com（10/22 4:57） |
| Pressable | 本番・ステージング・サンドボックスを含め、提供するすべてのPHPバージョンで対策済み | なし。表示されるPHPの番号が変わらなくても対策済み | Pressable Blog（10/22 5:36） |
| Kinsta | PHPは会社側で管理。修正版を全バージョン（8.5・8.4・8.3・8.2・8.1・8.0・7.4）で順次適用中。Cloudflareのルールなどの防御も続ける | なし | Kinsta ステータス（10/22 4:04開始、8:25更新） |
| SiteGround | 修正版の公開前に、全サーバーで影響のある機能を止める緩和策を入れた | なし | SiteGround Blog（10/21 20:30、修正版の公開前の発表） |
| Hostinger | VPS以外のプランは、ファイアウォールのルールで攻撃を止め、PHPの修正版を順次入れている | VPS以外はなし。VPSは自分でPHPを更新して再起動 | Hostinger Blog（10/22 5:33） |
| KUSANAGI（国内のWordPress向けサーバー環境） | kusanagi-php82〜85の修正版を公開し、「緊急アップデートを実施」と告知 | サーバーを管理する人が更新を適用 | KUSANAGI 更新情報（10/22 3:49） |
WP Engineは、確認した時点で公式の告知を見つけられませんでした。国内のレンタルサーバー（エックスサーバー、ロリポップ！、ConoHa WINGなど）の対応は「レンタルサーバー各社の対応状況」にまとめています。
各社の発表の中身
WordPress公式
WordPress.orgのニュースに「Critical PHP Security Release」が出ています。主な内容は次のとおりです［WordPress.org News］。
- サイトの持ち主は、すぐにPHPを更新するよう勧められている。ホスティング会社がPHPの更新やWAFのルールの追加を進めている場合でも、ホスティング会社の案内を確かめ、必要ならPHPを更新する。
- PHPのバージョンは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で見られる。
- WordPressの更新は必要なく、予定もない。
- PHP 8.2より前のバージョンは、PHPプロジェクトからのセキュリティ更新がない。自分でサーバーを管理していてこれに当てはまる場合は、新しいPHPに上げる準備ができるまでサーバーを止めることも考える。英国のNCSC（国家サイバーセキュリティセンター）なども同じ趣旨の助言をしている。
WordPressの公式Xも、ホスティング会社の更新予定を確かめてすぐPHPを更新するよう呼びかけました。WordPressの更新は必要ないことも、あわせて書いています［WordPress公式X］。
Wordfence・Patchstack・Sucuri
3社とも、WordPressやプラグイン、テーマを更新してもこの脆弱性は直らず、サーバーのPHPを修正版にする必要があるという点で一致しています。
- Wordfence：Linuxのディストリビューションなどから入れたPHPは、修正しても番号が変わらない場合があるため、ホスティング会社や配布元の告知で確かめるよう勧めています。ファイアウォールで防げるかは調査中としていて、確認した時点で新しいルールの案内はありませんでした［Wordfence］。
- Patchstack：検証されていない非公式の「修正プラグイン」や、ネットに出回るコードの貼り付けは、サイトが動かなくなるおそれがあるので避けるよう書いています。すぐに更新できず、狙われやすいサイトなら、いったん止めるかメンテナンス画面にすることも考えるよう勧めています［Patchstack］。
- Sucuri：もともとのWAFのルールで一部の攻撃は止めていたうえで、仮想パッチを追加したとしています。ただし、WAFを通らずにサーバーへ直接届く通信は止められないため、PHPの更新とあわせて使うよう書いています［Sucuri］。
WordPress向けホスティング（海外）
PHPを会社側で管理するWordPress向けホスティングは、利用者の作業はいらないと発表しています。
- WordPress.com・Automattic：Automatticは、PHPのセキュリティチームと事前に連携し、WordPress.com、WordPress VIP、WP Cloud、Pressable、Tumblrのサイトはすべて対策済みとしています［Automattic］。WordPress.comは、別のセキュリティプラグインを入れる必要はなく、入れると備わっている保護を妨げることがあるとも書いています［WordPress.com］。
- Pressable：MyPressableやサイトヘルスに表示されるPHPの番号にかかわらず、対策済みとしています［Pressable］。
- Kinsta：最初の告知（日本時間4:04）では8.5と8.3から適用を始め、8:25の更新で8.4・8.2を含む全バージョンの適用を進めていると書いています。8.5か8.3のサイトですぐに適用したい場合は、いったん低いバージョンに切り替えてから元に戻せばよいとも案内していました［Kinsta］。
- SiteGround：修正版が出る前の発表です。影響のある機能を全サーバーで止めたとしています。PHPのバージョンの切り替えも必要ないとしていて、修正版が出たら記事を更新するとしていました［SiteGround］。
- Hostinger：攻撃に使われる通信をファイアウォールで止め、Session Upload Progressという機能も止めたうえで、PHPの修正版を順次入れているとしています。8.1以前を選んでいるサイトも同じ保護の対象で、今のうちに8.3以上へ上げるよう勧めています［Hostinger］。
国内：KUSANAGI
WordPressを速く動かすためのサーバー環境「KUSANAGI」は、10月22日の1時半から3時半ごろにかけて、kusanagi-php84、85、82、83の順に修正版の脆弱性情報を出し、3:49に「PHPの重大な脆弱性に関する緊急アップデートを実施」と告知しました［KUSANAGI］。KUSANAGIはクラウドやVPSに入れて使うもので、サーバーを管理しているのは利用者の側（自社や制作会社）です。更新の手順はKUSANAGIの案内に沿って進めてください。
国内のレンタルサーバーでWordPressを使っている場合は、「レンタルサーバー各社の対応状況」で各社の告知を確かめてください。
WordPressの更新では直らない理由
WordPressはPHPというプログラムの上で動いています。今回の欠陥はWordPressやプラグインではなく、その土台のPHPにあります。そのため、WordPressの本体やプラグインを最新にしても、サーバーのPHPが古いままなら欠陥は残ります。WordPress公式、Wordfence、Sucuriが同じことを書いています。仕組みの説明は「php2shellとは」をご覧ください。
WordPressサイトの持ち主が今日やること
- PHPのバージョンを確かめる：WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開きます。8.1以前なら、PHPプロジェクトからの修正は出ません。見方は「PHPのバージョンを確認する方法」で図解しています。
- ホスティング会社の告知を確かめる：修正版を適用したか、利用者の作業が要るかを確かめます。番号が8.5.12などに変わらなくても対策済みの会社があるので（Pressableなど）、番号だけで判断せず、会社の告知を確かめてください。
- 8.1以前なら切り替える：管理画面でPHPを選べる場合は、バックアップを取ってから新しいバージョンに切り替えます。手順と、切り替えでサイトが動かなくなったときの対処は「WordPressのPHPバージョンアップ手順」にまとめています。
- サーバーを自分で管理しているなら更新する：VPSやKUSANAGIなど、自社や制作会社がサーバーを管理している場合は、ホスティング会社は更新してくれません。修正版のパッケージを入れ、PHPを再起動します。
- 攻撃を受けていないか確かめる：修正版を入れる前に攻撃されていた場合、更新しても入り込まれた跡は残ります。見覚えのない管理者アカウントやファイルがないか確かめてください。手順は「侵害されていないかの確認方法」で説明しています。
WordPressのプラグインではPHP本体の欠陥は直せません。Patchstackも、非公式の修正プラグインや貼り付けるコードを避けるよう呼びかけています。
よくある質問
WordPressを最新版にすれば大丈夫ですか？
いいえ。WordPress公式は、今回の件でWordPressの更新は必要なく、予定もないとしています。必要なのはサーバーのPHPの更新です。
Wordfenceなどのセキュリティプラグインを入れれば防げますか？
確認した時点で、Wordfenceはファイアウォールで防げるかを調査中としていました。WAFのルールを追加したSucuriも、WAFはPHPの更新の代わりにならないとしています。プラグインやWAFは、PHPを更新するまでの補助と考えてください。
サイトヘルスの番号が8.5.12などに変わりません
ホスティング会社やLinuxの配布元が、番号を変えずに修正を入れている場合があります（Wordfence、Pressableの説明）。番号だけで判断せず、ホスティング会社の告知で適用済みかを確かめてください。
WordPress.comやKinstaを使っています。何かする必要はありますか？
各社とも、利用者の作業は不要としています。Kinstaは確認した時点で適用を進めている途中だったので、完了の案内はステータスページで確かめてください。
Webセキュリティ診断センターでは、PHPのバージョンの確認と切り替え、切り替えにともなうテーマやプラグインの修正、侵入された跡の確認、新しいサーバーへの引っ越しをお受けしています。無料相談はこちら
参考にした情報
- WordPress.org News「Critical PHP Security Release」（2026-10-21 13:44 UTC）
- WordPress公式X（2026-10-21 14:02 UTC）
- Wordfence「PSA: PHP Security Updates Available for Two Critical Vulnerabilities, Update Now」
- Patchstack「Major security alert: PHP vulnerable to critical RCE, attacks ongoing」
- Sucuri「Critical PHP Security Update: Two RCE Flaws」
- Automattic「Your Sites Are Protected Against the PHP2Shell Vulnerabilities」 / WordPress.com Blog
- Pressable Blog
- Kinsta ステータス「PHP Security Vulnerability Update」
- SiteGround Blog
- Hostinger Blog
- KUSANAGI「PHPの重大な脆弱性に関する緊急アップデートを実施」 / 「緊急: kusanagi-php83 脆弱性情報」
- php.net（PHP公式のセキュリティアドバイザリ）
