2026年10月の PHP の欠陥について
2026年10月21日、PHP という部品に重大な欠陥が見つかったと発表されました。PHP はホームページの裏側で動くプログラムの一種で、WordPress で作ったブログやお店のサイト、会員制のサイトなど、かなり多くのサイトで使われています。
今回の欠陥を悪用されると、外部からサーバーを乗っ取られるおそれがあります。乗っ取られたサイトでは、会員登録で入力した名前や住所、パスワード、買い物で入力したカード情報などが抜き取られる可能性があります。
WordPress のサイトも関係ある？
あります。WordPress は PHP の上で動いているので、WordPress で作られたサイトは、サーバーの PHP が古ければ今回の欠陥の影響を受けます。WordPress そのものに欠陥が見つかったわけではありません。
注意したいのは、WordPress の管理画面で本体やプラグインを最新にしても、PHP は新しくならないことです。PHP はサーバー側の部品なので、レンタルサーバーの管理画面などで別に切り替える必要があります。「WordPress はいつも更新しているから大丈夫」とは限りません。
もう対策は進んでいる
修正版はすでに公開されています。大手のレンタルサーバー会社の多くは、サーバー側でまとめて対策を済ませています。
対策が遅れやすいのは、古い PHP を使い続けているサイトや、会社が自分たちでサーバーを管理しているサイトです。こうしたサイトは誰かが代わりに直してくれるわけではないので、運営者が気づいて更新するまで、欠陥が残ったままになります。
利用する側にできること
気になるサイトがあれば、トップページから対策ができていそうかを確かめられます。対策が確認できなかったサイトでは、新しく会員登録をしたり、カード情報を入力したりするのは、しばらく様子を見たほうが無難です。
それから、パスワードの使い回しはやめておきましょう。どこか 1 つのサイトから漏れても、ほかのサイトにまで被害が広がらずに済みます。やり方は「パスワードの使い回しをやめる方法」にまとめました。