公開日：
更新日：
【2026年10月】PHPの重大脆弱性とWordPressの守り方｜今すぐやること・おすすめプラグイン・よくある失敗
この記事の筆者
鶴 智之
株式会社JIMOTO Marketing Share Bureau代表取締役。キャリアを通してBtoBマーケティングのクライアントワークに従事。また前職では、株式会社Resorzの取締役を務め、海外ビジネス支援事業にも一部関わる。200社以上のマーケティング支援実績と数多くの自治体案件のPM経験などの実績を保有。地域の中小企業の成長こそ真なる地域活性化。「マーケティングで地域を元気に」をモットーに地域の企業の成長を支援。
プロフィール：https://www.jimoto-marketing-sb.com/about/profile
2026年10月、PHPに重大な脆弱性が見つかりました。
PHPはWordPressを動かしているプログラム言語で、日本の中小企業のホームページの多くがこの上で動いています。
今回の脆弱性は、ログインしなくても外部からサーバー上のプログラムを実行される恐れがあるもので、公表前から攻撃の試行も確認されています。それでも、地域の事業者さまのサイトを見ていると「何年もPHPを上げていない」「誰が管理しているかわからない」というケースは少なくありません。
この記事では、今回のPHP脆弱性の要点と、WordPressを使っている事業者さまが今すぐやるべきこと、おすすめのプラグイン、対策でよくある失敗をまとめました。最後に、私が考える「一番安心なWebの作り方」もお伝えします。
2026年10月のPHP脆弱性（通称PHP2Shell）で何が起きているのか
WordPressユーザーが今すぐやるべき5つのこと
WordPressを守る4つの層と、おすすめのプラグイン
セキュリティ対策でよくある失敗
一番安心なWebの作り方は「HTML＋CMS＋フォーム」
2026年10月のPHP脆弱性で何が起きているのか
2026年10月21日、PHPの開発元は2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開しました。通称「PHP2Shell」と呼ばれ、深刻度はCVSS 9.2（Critical）と非常に高い評価です。
ログインなしで、外部からプログラムを実行される恐れ
この脆弱性を悪用されると、攻撃者はサイトにログインしなくても、サーバー上で任意のプログラムを動かせる可能性があります。ホームページの改ざん、ウイルスの設置、お問い合わせフォームに入力された個人情報の流出など、被害は事業の信用に直結します。
すでに攻撃が始まっている
公表前の段階から攻撃の試行が観測されており、国内のレンタルサーバー会社からも、この脆弱性を狙ったとみられるアクセスを確認したという発表が出ています。「うちは小さな会社だから狙われない」は通用しません。攻撃の多くは、ネット上のサイトを機械的に探して回る自動プログラムによるものだからです。
WordPressを最新にしても防げない
今回の問題は、WordPressの外側にあるサーバーのPHPそのものにあります。WordPress本体やプラグインを更新しても、セキュリティプラグインを入れても防げません。必要なのは、サーバーのPHPを修正版に更新することです。
修正版は、8.5系が8.5.12、8.4系が8.4.27、8.3系が8.3.36、8.2系が8.2.35です。PHP 8.1以前はすでにサポートが終了しており、公式の修正版は出ていません。また、8.2系も2026年12月31日でセキュリティサポートが終了します（出典：PHP公式サイト）。
WordPressユーザーが今すぐやるべき5つのこと
難しく聞こえるかもしれませんが、やることは順番に整理できます。
1. PHPのバージョンを確認する
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」と進むと、使っているPHPのバージョンが表示されます。末尾の番号まで控えておきましょう。
2. サーバー会社の告知を確認する
多くのレンタルサーバー会社は、今回の脆弱性への修正をすでに適用しています。ただし、バージョンの番号を変えずに修正しているケースもあるため、番号だけで判断せず、契約しているサーバー会社のお知らせで、自分のプランとPHPの系統が対象かを確認してください。
3. PHP 8.3以上へ切り替える
PHP 8.1以前を使っている場合は、サーバー会社の独自修正があっても応急処置にすぎません。サーバーの管理画面から、PHP 8.3以上へ切り替えることをおすすめします。8.2系も年末でサポートが終わるため、このタイミングでの切り替えが安心です。
4. バックアップを取ってから作業する
PHPを上げると、古いテーマやプラグインが動かなくなることがあります。作業の前に必ずバックアップを取り、何かあれば元に戻せる状態をつくってから進めましょう。
5. 不審なファイルやユーザーがないか点検する
修正を適用する前に侵入されていた場合、修正しても元には戻りません。「wp-content/uploads」の中に見覚えのない「.php」ファイルがないか、身に覚えのない管理者ユーザーが増えていないかを確認しましょう。作業後は、トップページ、お問い合わせフォーム、画像のアップロード、管理画面へのログインが正常に動くかも確認してください。
WordPressを守る4つの層
今回はPHPの問題でしたが、WordPressのサイトが狙われる入口はほかにもあります。私はいつも、サイトの守りを4つの層で考えるようにお伝えしています。
サーバー・PHP
サポートが続いているPHPを使い、サーバー会社の修正情報を確認します。今回のような問題は、この層でしか防げません。
本体・テーマ・プラグイン
WordPressで実際に見つかる脆弱性の大半は、プラグインやテーマから見つかっています。本体・テーマ・プラグインの更新を続け、使っていないものは「停止」ではなく「削除」しましょう。
ログイン
管理画面への不正ログインを防ぎます。ログインURLの変更、画像認証、推測されにくいパスワード、2段階認証を組み合わせます。ユーザー名「admin」のままになっていないかも確認してください。
バックアップ
万が一の被害に備えて、自動でバックアップを取ります。サーバーと同じ場所だけでなく、クラウドストレージなど別の場所にも保管しておくのがポイントです。
おすすめのプラグイン
プラグインは便利ですが、入れすぎるとそれ自体が攻撃の入口や不具合の原因になります。私たちが支援の現場でよく使う、定番のものに絞って紹介します。
ログイン対策：SiteGuard WP Plugin
日本語で使えるセキュリティプラグインです。ログインURLの変更、ログイン画面の画像認証、ログイン失敗時のロックなど、ログインまわりの基本的な対策をまとめて設定できます。
総合的な防御：Wordfence Security
不正なアクセスを遮断するファイアウォール（WAF）や、改ざんされたファイルの検知などを備えたプラグインです。サーバー側のWAFと機能が重なる場合は、どちらを主に使うかを決めて設定しましょう。
バックアップ：UpdraftPlus または BackWPup
サイト全体のバックアップを自動で取得できるプラグインです。保存先をGoogleドライブなどの外部サービスに設定できるため、サーバーごと被害を受けても復旧できます。
フォームのスパム対策：reCAPTCHA
Googleが提供する、ロボットによる自動送信を防ぐ仕組みです。Contact Form 7などのフォームプラグインと連携でき、迷惑メールや不正な送信を減らせます。設定にはGoogleアカウントが必要です。
なお、セキュリティ系のプラグインは「1つの役割に1つ」が原則です。同じ機能のプラグインを複数入れると、かえって不具合の原因になります。
セキュリティ対策でよくある失敗
良かれと思ってやった対策が、トラブルにつながることもあります。私たちがご相談を受ける中で、特によく見る失敗を紹介します。
セキュリティプラグインを重ねて入れる
「たくさん入れたほうが安心」と、似た機能のプラグインを複数入れてしまうケースです。機能がぶつかり合い、ログインできなくなったり、表示が崩れたりします。
バックアップを取らずに一括更新する
本体やプラグインをまとめて更新した結果、サイトが表示されなくなることがあります。バックアップがなければ、元に戻すのにも時間と費用がかかります。
ログインURLを変えて、控えを残さない
ログインURLの変更は有効な対策ですが、新しいURLを社内で共有していないと、自分たちが管理画面に入れなくなります。担当者が辞めたあとに困るケースも少なくありません。
停止したプラグインを放置する
プラグインは「停止」してもファイルはサーバーに残ります。脆弱性のある古いプラグインが残っていると、攻撃の入口になることがあります。使わないものは削除しましょう。
バックアップを同じサーバーにだけ置く
サーバーごと被害を受けた場合、同じ場所に置いたバックアップも一緒に失われることがあります。必ず別の場所にも保管してください。
一番安心なWebの作り方は「HTML＋CMS＋フォーム」
ここからは私の持論です。WordPressはとても便利な仕組みですが、少人数の中小企業にとっては「守る範囲が広すぎる」と感じています。サーバー、PHP、本体、テーマ、プラグイン。どれか1つの更新が止まるだけで、そこが入口になってしまうからです。
公開ページは、静的なHTMLにする
静的なHTMLのページは、アクセスがあってもサーバー側でプログラムが動きません。今回のPHP脆弱性のように、サーバーのプログラムを狙う攻撃の多くを、そもそも受けない構造です。
更新は、クラウド型のCMSで行う
お知らせやコラムの更新は、クラウド型のCMS（コンテンツ管理システム）で行います。CMS本体のセキュリティ対策や更新はサービス側が担うため、自社で本体やプラグインを管理する必要がありません。
フォームは、専用のサービスに任せる
個人情報を受け取るお問い合わせフォームは、最も守りが必要な部分です。ここをプラグインで自作するのではなく、セキュリティ対策を専門に行うフォームサービスに任せることで、情報漏えいのリスクを大きく減らせます。
攻撃をすべて防ぐことはできません。だからこそ、攻撃される入口をそもそも減らしておくことが、少人数の会社にとって一番現実的な安全策だと考えています。もちろん、すでにWordPressで運用しているサイトをすぐに作り直す必要はありません。まずは今のサイトを安全な状態に整え、リニューアルのタイミングで作り方そのものを見直すのがおすすめです。
よくある質問
Q. レンタルサーバーを使っていれば、何もしなくて大丈夫ですか？
多くのサーバー会社は修正を適用済みですが、契約プランによって対応が異なる場合があります。また、PHP 8.1以前を使い続けている場合は、根本的な対策としてPHPのバージョンを上げる必要があります。サーバー会社の告知と、自社サイトのPHPバージョンを必ず確認してください。
Q. PHPのバージョンを上げると、サイトが壊れませんか？
古いテーマやプラグインを使っている場合、表示が崩れたり、一部の機能が動かなくなったりすることがあります。バックアップを取ったうえで切り替え、主要なページとフォームの動作を確認しましょう。不安な場合は、専門家に作業を依頼するのが確実です。
Q. 他社に作ってもらったサイトでも対策できますか？
できます。管理画面とサーバーにログインできる情報があれば、制作会社に関係なく、現在の状態の確認から更新・対策まで行えます。
WordPressの状態確認・セキュリティ対策は(株)JIMOTO Marketing Share Bureauへ
(株)JIMOTO Marketing Share Bureauでは、地域の中小企業・店舗さま向けに「中小企業向けWordPressセキュリティサポート」を提供しています。まずは1万円の検証プランで、PHP・WordPress本体・テーマ・プラグインの状態を確認し、必要な対策だけをご提案します。
検証プラン（確認だけ）：10,000円（税別）
セキュリティ対策パック（更新・ログイン対策・WAF・バックアップ・reCAPTCHA導入）：70,000円（税別）
運用支援（毎月の見守りと更新対応）：月額20,000円（税別）
作業の前には必ずバックアップを取得するため、万が一のときも元に戻せます。他社が制作したサイトにも対応しています。「何年も更新していない」「誰が管理しているかわからない」という段階でも、お気軽にご相談ください。
Webサイト全体の作り方や集客のご相談は、お問い合わせからも承っています。
この記事を書いた人
株式会社JIMOTO Marketing Share Bureau 代表取締役 鶴 智之（プロフィール）
キャリアを通してBtoBマーケティングのクライアントワークに従事。前職では株式会社Resorzの取締役を務め、海外ビジネス支援事業にも携わる。200社以上のマーケティング支援実績と、多数の自治体案件のPM経験を持つ。「マーケティングで地域を元気に」をモットーに、地域企業の成長を支援している。
ホームページ制作をもっと知る（関連記事）
おすすめ記事
この記事を読んだ方は以下の記事も読んでます！