PHPの重大な脆弱性が公表されたとき、WordPressサイトの担当者がやるべきこと

PHPはWordPressを動かしている土台のプログラムです。PHP本体の脆弱性は、WordPress本体やプラグイン、テーマを更新しても解消されません。対応するには、サーバー上のPHPそのものを修正版に更新する必要があります。サイト側とサーバー側の脆弱性の違いは「WordPressを更新していても防げない『サーバー側』の脆弱性とは」で解説しています。

重大な脆弱性は、公表と同時に多くの攻撃者が注目します。修正版の公開から間を置かずに攻撃が始まることもあるため、「様子を見る」時間は長くありません。

PHPの脆弱性が公表されたときは、次の順で確認と対応を進めます。

最初に確認するのは、自社サイトのPHPを更新する担当が誰なのかです。これによって、自分が作業するのか、事業者の対応を確認するのかが決まります。

制作会社や保守会社にサーバーの管理を任せている場合は、その会社が窓口になります。契約内容によって範囲は異なるため、詳しくは「PHPの更新は誰がやる？」で比較しています。

WordPressの管理画面で、「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の項目を確認します。次の2つを控えておきましょう。

• PHPバージョン：8.3.36のように、末尾の数字まで確認する
• PHPのSAPI（動作方式）：PHPがどの方式で動いているか（fpm-fcgi、apache2handlerなど）。脆弱性によっては、動作方式でリスクの大きさが変わることがある

サーバーの管理画面や、サーバーにログインしてコマンドで確認する方法もあります。

PHP開発元の公式発表や、セキュリティ機関の注意喚起で、影響を受けるバージョンと修正版の番号を確認します。

注意したいのは、表示されているバージョン番号だけでは、修正が適用済みかを判断できない場合があることです。

• サーバー事業者やLinuxのディストリビューションによっては、バージョン番号を変えずに修正だけを組み込む（バックポート）ことがある
• そのため、番号が古く見えても修正済みの場合もあれば、その逆の場合もある

番号だけで「未対応だ」「対応済みだ」と決めつけず、ステップ4で事業者の案内とあわせて確認しましょう。

サポートが終了したバージョン（2026年11月時点では8.1以前）には、公式の修正版が提供されません。この場合は、サポート中のバージョンへの移行を急ぐ必要があります。サポート期限の考え方は「PHPのサポート期限とは？」で解説しています。

サーバー事業者の公式サイトやお知らせで、脆弱性への対応状況を確認します。確認したいのは次の点です。

• 契約しているサービス、使っているPHPのバージョンが対応済みか
• 利用者側で必要な作業（PHPのバージョンの切り替えなど）があるか
• 追加の注意喚起が出ていないか

案内が見つからない場合や、自社の状況に当てはまるか分からない場合は、事業者に問い合わせましょう。

VPSやクラウドで自前で運用している場合は、修正版を自分で適用します。

• OSのパッケージ管理の仕組み（dnf、aptなど）で、PHPの更新が提供されているかを確認する
• 更新を適用したら、PHP-FPMやWebサーバーを再起動する（再起動しないと、修正前のPHPが動き続けることがある）
• 適用後に、バージョンや更新履歴で反映を確認する

自前でのパッチ管理の進め方は「AWS・VPSでWordPressを運用する担当者のためのサーバーのパッチ管理」で解説しています。

検証が必要などの理由ですぐに更新できない場合は、PHP開発元やセキュリティ機関が案内する暫定的な対策（特定の機能を無効にする設定など）を検討します。

ただし、暫定的な対策は攻撃の経路の一部をふさぐものにすぎず、根本的な解決にはなりません。暫定策を適用した場合も、できるだけ早く修正版に更新しましょう。

PHPを更新した後は、サイトの表示、お問い合わせフォーム、管理画面へのログインなど、主要な機能が問題なく動くかを確認します。

修正版の適用前に攻撃を受けていた可能性もあります。次のような兆候がないか、確認しておきましょう。

• 見覚えのないファイルやユーザーが追加されていないか
• サイトが外部のサイトへ勝手に転送されていないか
• サーバーの負荷が急に上がっていないか

不審な動きがあった場合は、乗っ取りを疑って対応します。具体的な手順は「WordPressが乗っ取られたときの対処法」で解説しています。

脆弱性の情報を誰が受け取り、誰が影響を判断し、誰が作業するのかを決めておきましょう。制作会社や保守会社に任せている場合は、脆弱性が公表されたときに連絡をもらえるかも確認しておきます。

PHP開発元の公式サイト、国内のセキュリティ機関（JPCERT/CCやIPAなど）、契約しているサーバー事業者のお知らせなど、確認する情報源を決めておくと、いざというときに慌てずに済みます。

脆弱性のたびに社内で対応するのが難しい場合は、サーバーの管理そのものを事業者に任せる選択肢もあります。

「WP-Chorus」は、NHNテコラスが提供する企業向けのWordPressクラウドホスティングです。OSやミドルウェアのパッチ適用を含むインフラ運用管理を全プランで標準提供しており、ミドルウェアのパッチ管理はNHNテコラスが対応します。24時間365日のサーバー運用監視も行っているため、サーバー側の脆弱性への対応を社内で抱え込まずに済みます。

• PHPの脆弱性は、WordPressを更新しても直らない。サーバー上のPHPを修正版に更新する必要がある
• 最初に「PHPを管理しているのは誰か」を確認し、事業者管理なら案内を、自社管理なら修正版の適用を進める
• バージョン番号だけで対応済みかを判断しない
• 暫定策はあくまで一時的なもの。できるだけ早く修正版に更新する
• 平時のうちに、連絡と判断の流れと、確認する情報源を決めておく