何が起きた？

2026年10月21日、Webサイトを動かすプログラミング言語「PHP」に、2件の重大なセキュリティ上の欠陥が見つかり、修正版が公開された。

今回の欠陥は、条件がそろうと、外部の攻撃者がパスワードなどを知らなくても、Webサイトを管理するサーバー上で不正なプログラムを実行できる可能性があるというものだ。

危険度は10点満点中9.2点と評価されており、PHPの開発チームは利用者に直ちに更新するよう呼びかけている。

PHPは世界中のWebサイトで広く使われている。ブログ作成システムのWordPressにも採用されているため、多くのサイト運営者に関係する問題となっている。

簡単にいうと

PHPとは、Webサイトの裏側で働くプログラミング言語である。

例えば、WordPressで作られたブログの記事を開くと、サーバー上でPHPが動き、保存されている記事の内容を取り出して、読者の画面に表示するページを組み立てる。

レストランに例えるなら、読者は料理を注文するお客さん、WordPressは注文を受けて料理を用意する仕組み、PHPは厨房で調理を担当する人のような存在である。

普段、読者がPHPを直接目にすることはない。しかし、PHPが正常に働かなければ、多くのWebサイトは本来の機能を提供できなくなる。

今回見つかったのは、そのPHP自体に存在する欠陥である。

つまり、Webサイトの管理者がパスワードを厳重に管理していても、PHPに欠陥が残っていれば、攻撃を受ける可能性があるということだ。

何が危険なのか？

今回の問題は、PHPがコンピューターの「メモリ」を扱う仕組みに関係している。

メモリとは、プログラムが作業中の情報を一時的に置いておく場所である。

発見された欠陥の一つは、メモリが不足したときに、PHPが処理途中の不完全な情報を正しいものとして扱ってしまうというものだ。

もう一つは、すでに使い終わったメモリの情報が残り、後の処理で誤って使われてしまうという問題である。

通常なら、こうした不具合はプログラムの異常終了などにつながる。しかし今回の欠陥は、攻撃者が意図的に利用することで、サーバーに不正な命令を実行させられる場合がある。

これは「リモートコード実行」と呼ばれる攻撃であり、成功するとWebサイトの改ざんや情報の窃取、不正なプログラムの実行などにつながる恐れがある。

さらに、セキュリティ企業Wizは、サーバーのメモリに保存されているパスワードや認証情報などを読み取る攻撃も実証している。

ただし、PHPを使っているすべてのWebサイトが、同じ方法で攻撃できるわけではない。攻撃の成立にはPHPのバージョンやサーバーの構成などが関係する。

なぜWordPressにも影響するのか？

WordPressはPHPを利用して動くシステムだからである。

今回の問題はWordPressのプログラム自体に見つかったものではなく、その土台となるPHPに存在している。

そのため、WordPressを最新版に更新していても、サーバー上のPHPが古ければ危険が残る。

実際にWizの研究チームは、WordPressだけでなく、DrupalやJoomlaといった別のWebサイト作成システムでも、ログインせずにサーバー上で不正なプログラムを実行できることを実証した。

つまり、特定のブログサービスだけが危険なのではない。PHPを利用するさまざまなWebサイトに影響が及ぶ可能性がある。

WordPress公式も10月21日、サイト運営者にPHPの更新を呼びかけた。

一方で、今回の問題を修正するためのWordPress本体の更新は必要なく、予定もないと説明している。

重要なのは、WordPressではなくPHPを修正することなのである。

なぜ今になって発覚したのか？

実は、今回の問題の一部については、2024年の時点ですでに兆候が見つかっていた。

しかし当時は、実際に外部から攻撃できる具体的な方法までは確認されていなかった。

さらに、PHPの基本的な仕組みに関わる問題だったため、修正方法によっては既存のWebサイトやプログラムが正常に動かなくなる恐れもあった。

PHP Foundationは、対応の判断が遅れた背景として、開発体制の人員不足や意思決定上の問題があったことを認めている。

転機となったのは2026年8月である。

セキュリティ企業CalifやOpenAIなどの研究者が、実際に攻撃につながる方法を報告し、問題の深刻さが明らかになった。

また、今回の調査ではAIも活用された。

Wizは、従来なら非常に複雑で時間のかかる攻撃方法の分析が、高度なAIの活用によって現実的になったと説明している。

これは、以前から存在していた欠陥であっても、AIの進歩によって悪用できる可能性が高まることを示す事例でもある。

WordPress利用者はどうすればいい？

今回の欠陥に対応するため、PHP公式は10月21日に以下の修正版を公開した。

これらの系列を利用している場合は、表のバージョン以上に更新することが重要である。

PHP 8.1以前については、PHP公式による通常のセキュリティ更新が終了している。サーバー提供会社が独自の修正版を提供している場合もあるが、基本的にはサポート対象の新しいバージョンへの移行を検討する必要がある。

WordPressの利用者は、管理画面の「ツール」から「サイトヘルス」を開き、「情報」内の「サーバー」で現在のPHPバージョンを確認できる。

ただし、PHPの更新はWordPressの管理画面ではなく、レンタルサーバーの管理画面などで行う場合が多い。

すでにサーバー提供会社が対策を実施している可能性もあるため、まずは公式のお知らせを確認するとよい。

また、PHPを更新すると古いテーマやプラグインが正常に動かなくなる場合があるため、事前のバックアップも重要である。

なお、Webサイトを閲覧するだけの一般利用者が、自分のスマートフォンやパソコンでPHPを更新する必要は通常ない。

今回の問題への対応が求められるのは、主にWebサイトを運営・管理する側である。

情報源

• PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」
• WordPress.org 日本語「PHP の重大なセキュリティリリース」
• PHP Foundation「Today’s PHP Security Release, and How We’re Strengthening PHP Security」
• Wiz Research「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」

The post PHPに重大な欠陥が発覚！ WordPressも危険？ そもそもPHPとは何なのか？ first appeared on 世界一わかりやすいニュースAI解説.