WordPressもPHP2Shellの影響を受ける？PHP更新と確認方法

情報確認日：2026-10-22 · 発行：Tsumira Japan（SourceArt Ltd）

WordPressを利用しているサイトも、サーバー側のPHPが影響を受ける場合があります。今回の2件はWordPress本体や特定プラグインだけの問題ではありません。WordPressを更新したかどうかとは別に、実際に使われているPHPと提供元の修正状況をご確認ください。

WordPressの更新だけで対応は終わる？

2026年10月21日のWordPress公式案内は、今回の問題に対するWordPress本体の更新は予定しておらず、PHP側の対応が必要であると説明しています。管理画面の「更新はありません」という表示は、PHPの修正完了を意味しません。

WordPress、テーマ、プラグインの保守と、サーバーのPHP更新は担当が異なる場合があります。どちらの作業を誰が行うか、最初に確認しておくと対応の抜けを防げます。

管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPの情報を確認できる場合があります。表示された値と対象URL、確認日時を控え、サーバー管理画面の対象ドメイン設定と照合してください。

CLIで表示されるPHPと、Webサイトが利用するPHPが同じとは限りません。複数サイトやステージング環境を運用している場合は、ドメインごとの設定を確認します。確認のためにphpinfo()を一般公開する必要はありません。

対象ドメインと、CVE-2026-109618・CVE-2026-109619の両方を指定してください。「自分の契約・サーバーに修正が適用済みか」「自分で行う操作があるか」「修正を確認できる情報は何か」を分けて質問します。

古い番号のまま修正が取り込まれることもあります。番号だけで未修正と断定せず、提供元の案内とパッケージ情報で照合してください。WAFの導入だけをPHP更新と同じ対応として扱うことも避けます。

バックアップから復旧できること、テーマ・プラグイン・独自コードの互換性を確認し、作業担当と切り戻し条件を決めます。緊急対応でも、注文や予約などの業務データを上書きしない復旧方法が必要です。

更新後はログイン、問い合わせ送信、予約、購入など、ご利用の重要な機能を確認します。PHPの修正確認と、サイトが動くかどうかの確認を両方記録してください。

WordPressの更新状況だけでは判断できません。実際のPHPと提供元の修正状況を別に確認します。

今回のPHP本体の問題は、それだけでは修正できません。提供元が案内するPHPの修正をご確認ください。

あります。提供元によるバックポートでは番号が同じ場合があるため、対象CVEと修正パッケージを照合します。

公式情報や画面構成は変更される場合があります。実際の契約・設定・提供元の最新案内を優先してください。本記事は個別環境の安全性や修正完了を保証するものではありません。

わかる範囲の情報から、確認方法と対応範囲を整理します。有料作業は、内容と費用のご承認後に進めます。