【2026年10月】PHPの脆弱性・WordPressの緊急更新、依頼先が分からない企業へ｜相談先の選び方と即日対応の窓口

「PHPの脆弱性のニュースを見たが、うちのサイトは誰に聞けばいいのか分からない」――制作会社が分からない、サーバー会社に何を聞けばよいか分からない、保守契約もない。そんな状態のまま、時間だけが過ぎていないでしょうか。

2026年10月21日、PHPの深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）の修正版が公開されました。この記事では、依頼先が分からない企業が、今日、最初に何をして、誰に何を伝えればよいかを整理します。あわせて、同じ時期に必要になるWordPress本体の更新（CVE-2026-87902）についても解説します。

※PHPに関する情報は2026年10月28日時点、WordPress本体に関する情報は10月24日時点のものです。

「WordPressの更新通知が出ているけれど、押していいのか分からない」「制作会社に任せていて、今のバージョンも知らない」

2026年9月22日、WordPress本体に、深刻度「緊急（critical）」の脆弱性を修正するセキュリティリリース（7.1.2）が公開されました。その後の10月6日にも、7件のセキュリティ修正を含む7.1.3が公開されています。WordPressを使っているホームページは、広島の企業にも非常に多く、本体の更新状況は、今すぐ確認しておきたいポイントです。

一方で、WordPressには、5月の7.0、8月の7.1に続き、12月に7.2が予定されています。「セキュリティ更新はすぐに」「大きな機能更新は検証してから」という使い分けが分からず、更新そのものを止めてしまっている企業も少なくありません。

この記事では、今回の脆弱性の要点、自社サイトのバージョンの確認方法、セキュリティ更新とメジャー更新の判断基準、更新前に確認したいことまでを、専門知識がなくても判断できるように整理しました。

※本記事は2026年10月24日時点の情報にもとづいています。状況は変わる可能性があるため、最新の情報は、WordPress公式サイトや、ご利用のサーバー会社・管理会社の案内でご確認ください。

PHPの脆弱性で「誰に頼めばいいか分からない」ときの最初の一歩

PHPの修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35として公開されています。PHPはサーバー側で動いているため、WordPressを最新にしても、PHPのバージョンは変わりません。「WordPressは更新したから大丈夫」ではなく、PHPは別に確認する必要があります。

ただし、レンタルサーバーを使っている場合は、サーバー会社が修正を適用していることが多くあります（エックスサーバー、ロリポップ！、さくらインターネットなどが対応を発表しています）。一方、VPSのように、利用者がPHPを管理するサーバーでは、自社での更新が必要です。まずは、「自社がどの状況なのか」を知ることが出発点です。

状況別｜最初に連絡する先の目安

いまの状況	最初に連絡する先	伝えること・聞くこと
制作会社が分かり、連絡も取れる	制作会社	PHPの脆弱性への対応状況、PHPのバージョン、更新の可否と費用
制作会社は不明だが、サーバーの契約先は分かる	サーバー会社（管理画面・公式のお知らせ）	契約中のサーバーのPHPバージョン、サーバー会社側の対応状況
制作会社も、サーバーの契約先も分からない	現状の調査から依頼できる会社	サイトのURLと、契約書・請求書など、手がかりになる資料
社内にIT担当者がいない	現状の調査から依頼できる会社	困っていること、サイトの用途（問い合わせ、予約、通販など）

まず手元で調べておきたい3つのこと

• サイトのURL：コーポレートサイトのほか、採用サイトやサービス用のサイトも含めて、すべて書き出す
• サーバーの契約先の手がかり：請求書、契約時のメール、ドメインの管理画面などをたどる。ネームサーバーの情報が、契約先のヒントになる場合もある
• WordPressの管理画面に入れるか：入れる場合は、「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンを確認する

これらが分からなくても、問題ありません。分かる範囲で、整理しておくだけで構いません。マザーハンズへのご相談は、「何が分からないのかが分からない」という段階からお受けしています。

【まず結論】広島の企業が今日やるべき3つのこと

詳しい説明の前に、結論を先にお伝えします。

• WordPressの管理画面で、現在のバージョンを確認する
• そのバージョンが、修正版以上になっているかを確認する
• 管理を任せている会社（制作会社・保守会社・サーバー会社）に、更新の状況を問い合わせる

今回の緊急の脆弱性（CVE-2026-87902）について、修正版は次のとおりです。お使いのバージョンの系統（ブランチ）に合わせて、同じ系統の修正版以上になっているかを確認してください。

• 7.1系：7.1.2以降（2026年10月24日時点の最新は7.1.3）
• 7.0系：7.0.6以降
• 6.9系：6.9.9以降
• 6.8系：6.8.10以降

これより古い系統にも、修正版が順次提供されています。ただし、WordPress公式が積極的にサポートしているのは最新版だけです。古い系統を使っている場合は、修正版への更新だけで済ませず、最新版への移行も検討しましょう。

今回の脆弱性の要点｜何が起きたのか

まず、WordPress公式の告知をもとに、今回の件の要点を整理します。

1. 2026年9月22日、緊急のセキュリティリリースが公開された

WordPress 7.1.2は、重大度が「緊急」とされる脆弱性の修正を含むセキュリティリリースです。公式は、すべてのサイトを直ちに更新することを推奨しています。

公式の説明によると、ログインしていない外部の攻撃者が、ページのテンプレートを探す処理を悪用して、使っているテーマのフォルダの外にある、読み取り可能なPHPファイルを読み込ませることができます。サーバーの環境と、使っているテーマの両方で一定の条件がそろった場合は、サーバー上で任意のプログラムを実行される（リモートコード実行）おそれがあります。

2. 影響の範囲は、とても広い

この脆弱性は、WordPress 4.7以降の幅広いバージョンに及ぶと報じられています。公式は、セキュリティ修正を、セキュリティ対応の対象となっている系統に、4.7までさかのぼって提供するとしています。

3. 修正版の公開直後から、悪用の動きが報告された

海外のセキュリティ報道では、修正版の公開直後から、この脆弱性を狙った攻撃の試みが観測されたと伝えられています。また、カナダのサイバーセキュリティ機関の注意喚起によると、米国のCISAは、悪用が確認された脆弱性の一覧（KEV）に、9月25日に追加しました。

4. 10月6日にも、セキュリティリリースが続いた

10月6日に公開された7.1.3では、7件のセキュリティ修正が含まれています。公式の告知には、コメント管理画面での不正なスクリプトの実行（保存型XSS）や、非公開の投稿へのコメントが認証なしで見えてしまう問題などが挙げられています。公式は、セキュリティリリースのため、直ちに更新することを推奨しています。

つまり、9月22日と10月6日の2回、続けてセキュリティ更新が出ています。「去年入れたまま」というサイトは、今の状況を確認しておく必要があります。

「条件がそろわなければ安全」とは言い切れない理由

今回の脆弱性は、実際にコードを実行されるには、いくつかの条件がそろう必要があるとされています。報告されている条件の例は、使っているテーマに、名前が「page-」で始まるフォルダがあること、そして、攻撃に使える読み取り可能なPHPファイルがサーバー上にあることです。

この説明を聞くと、「うちは条件に当てはまらないから大丈夫」と考えたくなります。しかし、次の理由から、条件の確認だけで済ませるのはおすすめしません。

• テーマの構成やサーバーの環境は、自社で正確に把握しにくく、判断を誤りやすいこと
• 条件が当てはまらなくても、脆弱性そのものは残っており、更新が根本的な対策になること
• 報道では、修正版の公開直後から、攻撃の試みが観測されたとされていること

確認に時間をかけるより、修正版へ更新するほうが、確実で、手間もかかりません。

【まず確認】自社サイトのWordPressバージョンの調べ方

専門知識がなくても、次の手順で、自社サイトの状況を整理できます。

ステップ1：管理画面にログインして、バージョンを見る

WordPressの管理画面にログインすると、画面の左側にメニューが表示されます。「ダッシュボード」から「更新」を開くと、現在のバージョンと、新しいバージョンがあるかどうかが表示されます。管理画面の下部にも、バージョンが表示されている場合があります。

ステップ2：修正版以上かどうかを確認する

確認したバージョンを、先ほどの修正版の一覧と照らし合わせます。たとえば、7.1.3と表示されていれば、今回の脆弱性の修正が含まれています。7.1.1や7.0.5など、修正版より前の番号であれば、更新が必要です。

ステップ3：自動更新が、実際に完了したかを確認する

WordPressは、自動更新が有効なサイトでは、セキュリティ更新が自動的に始まります。ただし、「自動更新が有効のはず」と思っていても、実際には止まっていることがあります。更新が終わったかどうかは、管理画面で、必ず確認しましょう。

ステップ4：管理画面にログインできない場合

管理画面のIDやパスワードが分からない場合や、ログインできない場合は、サイトを制作した会社、保守を任せている会社、サーバー会社に、バージョンを問い合わせてください。誰が管理しているのか分からない場合は、請求書や契約書、ドメインの更新通知メールなどをたどって、管理者を探すことから始めましょう。

セキュリティ更新と、メジャー更新は分けて考える

WordPressの更新には、性質の違う2つの種類があります。この違いを知っておくと、「更新して大丈夫か」の迷いが減ります。

セキュリティ更新（7.1.2、7.1.3など、末尾の数字が上がる更新）

脆弱性の修正が中心の更新です。今回のように「緊急」とされる場合は、公式も直ちに更新するよう案内しています。内容が小さく、影響が限定されるため、基本的には、バックアップを取ったうえで、できるだけ早く適用します。

メジャー更新（7.0、7.1、7.2など、数字が大きく変わる更新）

新しい機能や、大きな仕組みの変更を含む更新です。WordPressは、2026年に入って、5月20日に7.0、8月19日に7.1が公開されました。メジャー更新は、使っているテーマやプラグインとの相性で、表示や動作に影響が出る場合があります。そのため、テスト用の環境で確認してから、本番のサイトに適用するのが安全です。

ここで大切なのは、「メジャー更新を見送る」ことと、「セキュリティ更新を止める」ことは、別の話だという点です。メジャー更新の検証に時間がかかっていても、今使っている系統に、セキュリティ修正が提供されているなら、まずそちらを適用します。

WordPress 7.0・7.1で何が変わったか｜制作現場の視点

「更新して、何が変わるのか」を知っておくと、更新前の確認ポイントが分かります。WordPress公式の告知をもとに、ホームページの運用に関わる部分を整理します。

7.0（2026年5月20日公開）

• 生成AIと連携するための仕組み（AI Client）が、WordPress本体に加わった
• 管理画面の配色やデザインが一新され、コマンドパレット（キーボードから機能を呼び出す画面）が加わった
• テーマに関係なく、フォントを管理できるページが加わった
• ギャラリー、見出し、パンくず、アイコンのブロックが加わった

7.1（2026年8月19日公開）

• 画面サイズごとの見た目を、CSSを書かずに設定できるレスポンシブスタイルが加わった
• 画像の圧縮やサムネイルの生成を、ブラウザ側で行う仕組みが入り、サーバーの負荷を減らせるようになった
• 新しいメディアエディターや、タブ、プレイリストのブロックが加わった
• すべてのテーマで、投稿の編集画面が、独立した枠（iframe）の中で表示される仕組みになった

制作会社として、特に注意したいのは、最後の「編集画面の仕組みの変更」です。管理画面のスタイルや、編集画面を拡張するプラグインに影響が出る可能性があるため、更新前に、投稿の編集・保存・プレビューが正常に動くかを、確認しておく必要があります。

7.2は、12月8日に公開予定

WordPressの公式サイトに掲載されている予定では、7.2は、10月20日にベータ版が始まり、11月17日にリリース候補版、12月8日に正式リリースの予定です。新しいデフォルトテーマも、7.2と同時に提供される予定です。ただし、これはあくまで予定で、変更される場合もあります。

年末の繁忙期に、慌てて更新して不具合を出さないためにも、今のうちから、テスト環境で検証できる状態を整えておくことをおすすめします。

PHPとデータベースの要件も、あわせて確認する

WordPressを安全に使い続けるには、WordPress本体だけでなく、サーバー側のPHPやデータベースも、新しい状態に保つ必要があります。WordPress公式が掲載している推奨の要件は、次のとおりです。

• PHP：8.3以上
• データベース：MariaDB 10.11以上、またはMySQL 8.0以上
• HTTPSに対応していること

公式は、PHP 7.4以上とMySQL 5.5.5以上でも動作するとしながら、どちらもサポートが終了しており、セキュリティ上の問題につながるおそれがあると説明しています。

PHPについては、2026年10月にも、深刻な脆弱性が公表されています。詳しくは、【2026年10月】PHPの重大な脆弱性、広島の企業が今日確認すべきこと｜自社サイトの確認手順と相談先の記事をご覧ください。「WordPress本体」と「PHP」は、別々に更新する必要がある点に注意しましょう。

更新前に確認したい5つのポイント

メジャー更新や、PHPの更新を行う前には、次の5点を確認します。

1. バックアップを取る

サイトのファイルとデータベースの両方を、バックアップします。うまくいかなかった場合に、元の状態へ戻せる準備をしてから、作業を始めましょう。

2. テーマとプラグインの対応状況を確認する

使っているテーマとプラグインが、新しいバージョンに対応しているかを、開発元の情報で確認します。更新が止まっているテーマやプラグインがある場合は、置き換えも検討します。「対応済み」と書かれていても、自社の構成の組み合わせで動くかは、実際に試さないと分かりません。

3. 可能なら、テスト環境で先に試す

本番のサイトと同じ内容のテスト環境で、更新を試して、表示や動作を確認します。本番のサイトで、いきなり試すのは避けましょう。

4. 更新後に、主要な機能を確認する

更新が終わったら、次の点を確認します。

• トップページや主要なページが、正しく表示されるか
• お問い合わせフォームから、メールが届くか
• 予約・会員登録・ネットショップの決済が、正常に動くか
• 管理画面にログインして、記事の編集・保存・プレビューができるか

5. 更新したことを記録する

誰が、いつ、何を、どのバージョンへ更新したかを、記録に残します。何か問題が起きたときに、原因を探す手がかりになります。

すでに影響を受けていないかを確認するポイント

修正版の公開直後から、攻撃の試みが報告されているため、更新するだけでなく、すでに被害を受けていないかの確認も大切です。次のような兆候がないか、保守担当者や管理会社に、確認してもらいましょう。

• 9月22日以降のサーバーのログに、不審なテンプレートの探索や、見覚えのないアクセスが残っている
• サーバー上に、見覚えのないPHPファイルが追加されている
• 身に覚えのない管理者アカウントが、追加されている
• サイトの内容が書き換えられている、または、見覚えのないページが追加されている
• 検索結果に、サイトの内容と関係のない文言が表示されている

疑わしい兆候が見つかった場合は、自分で調べたり、ファイルを消したりする前に、ログや設定のコピーを残しておきましょう。そのうえで、専門家やIPAなどの公的機関の相談窓口に、ご相談ください。

なお、ホームページが改ざんされると、検索結果での評価にも影響が出るおそれがあります。Googleは、セキュリティの弱点を突かれて、許可なく追加されたコンテンツを、スパムポリシーの「ハッキングされたコンテンツ」として扱っています。

よくある3つの誤解

① 「自動更新を入れているから、何もしなくて大丈夫」

自動更新は便利な仕組みですが、サイトの構成や設定によって、更新が止まっていることがあります。また、自動で更新されるのは、主にセキュリティ更新で、PHPやデータベースの更新は別です。「入れているはず」ではなく、実際のバージョンを、管理画面で確認することが大切です。

② 「プラグインを最新にしているから、本体は関係ない」

今回の脆弱性は、プラグインではなく、WordPress本体の問題です。プラグインやテーマを更新しても、WordPress本体の脆弱性は解消しません。本体、テーマ、プラグイン、PHPの4つを、それぞれ更新する必要があります。

③ 「うちは小さい会社だから、狙われない」

今回の脆弱性は、ログインしていない第三者が、外部から攻撃を試せるとされています。攻撃は、会社の規模を見て行われるとは限らず、広く公開されているサイトに対して、機械的に試される場合があります。規模にかかわらず、確認しておくことが大切です。

広島の企業がやりがちな3つの失敗パターン

① 管理している会社が分からず、更新が止まってしまう

サイトを作った会社と、サーバーの契約先、保守を担当している会社が、それぞれ別になっているケースがあります。「誰に聞けばいいのか分からない」まま、時間だけが過ぎてしまうのが、一番のリスクです。請求書や契約書をたどると、管理者が分かる場合も多いので、まずは管理者の特定から始めましょう。

② メジャー更新を怖がって、セキュリティ更新まで止めてしまう

以前に、更新でサイトが崩れた経験があると、「更新は危ない」と考えてしまいがちです。しかし、メジャー更新と、セキュリティ更新は別です。セキュリティ更新は、バックアップを取ったうえで、早めに適用しましょう。

③ 更新したあとの、動作確認を怠る

更新が終わったことに安心して、お問い合わせフォームの動作確認を忘れると、メールが届かない状態が続き、問い合わせの機会を逃すことがあります。更新後は、主要な機能を必ず確認してください。

《今回の対応で押さえたい基本ルール》

• 情報は、WordPress公式サイトや、公的機関、ご利用のサーバー会社の案内など、信頼できるところで確認する。SNSの断片的な情報だけで判断しない
• 作業の前に、必ずバックアップを取る
• セキュリティ更新は早く、メジャー更新は検証してから、と分けて考える
• 誰が・いつ・何を更新したかを、記録に残しておく
• 疑わしい兆候があるときは、自分で消したり直したりする前に、ログや設定のコピーを残す
• 更新後は、主要な機能が正常に動くかを、必ず確認する

まとめ｜広島の企業が、優先順位をつけて進めるために

今回のWordPressの脆弱性は、WordPressを使っているサイトに、広く関わる問題です。ただし、すべてを一度に解決する必要はありません。優先順位をつけて、順番に進めましょう。

今回の件は、一度の更新だけの話ではありません。WordPressは、2026年に7.0・7.1・7.2と、3回のメジャー更新が予定されており、その間にもセキュリティ更新が出ます。「誰が、どの頻度で、更新を確認するのか」を決めておくことが、いちばんの対策です。

今日やること

• 管理画面で、WordPress本体のバージョンを確認する
• 修正版以上かどうかを、確認する
• 管理している会社に、更新の状況を問い合わせる

今週中にやること

• 更新が必要な場合は、バックアップを取ったうえで、WordPress本体を更新する
• 更新後に、フォームや決済など、主要な機能の動作を確認する
• 9月22日以降のログや、見覚えのないファイルがないかを、保守担当者に確認してもらう

今月中にやること

• PHPやデータベースが、公式の推奨要件を満たしているかを確認する
• 12月に予定されている7.2に備えて、テスト環境で検証できる体制を整える
• WordPressの更新を、誰が・いつ行うのかを決めておく

依頼先を選ぶときに確認したい5つのポイント

自社だけでの対応が難しい場合は、外部の専門会社に相談する方法があります。PHPやWordPressの更新は、やり方によって、サイトが止まるリスクもあります。依頼する前に、次の5点を確認しておくと安心です。

1. 現状の調査から頼めるか：WordPress、PHP、テーマ、プラグイン、サーバーの種類を調べ、その結果を報告してもらえるか
2. バックアップと、元に戻す体制があるか：作業の前にバックアップを取り、うまくいかなかった場合に、元の状態へ戻せるか
3. 更新後の動作確認と報告があるか：お問い合わせフォームや決済など、事業に直結する機能を確認し、結果を報告してもらえるか
4. 連絡がつくスピードが、状況に合っているか：緊急の脆弱性は、数日の遅れが問題になることがあります。即日で相談を受けてもらえるか
5. 作業内容・費用・期間を、事前に示してもらえるか：「何を、どこまで行うのか」が分かる形で、見積もりをもらえるか

避けたい依頼のしかた

• 範囲と費用が分からないまま、「とりあえずお願いします」と依頼する：後から追加費用が出るなど、行き違いの原因になります
• PHPを更新しただけで「完了」とされる：更新前の期間に侵入されていないかの確認や、更新後の動作確認が抜けていないかを確認してください
• 管理画面のIDやパスワードを、メール本文などで送る：認証情報の受け渡しは、安全な方法を相談したうえで行ってください

依頼先の種類と、向き不向き

依頼先	向いているケース	注意したい点
サイトを作った制作会社	サイトの構成を最もよく知っている。連絡が取れる場合	保守契約がない場合は、別途の見積もりになることがある
サーバー会社	サーバー側のPHPの設定や、管理画面の操作を確認したい場合	サイトの中身（テーマ、プラグイン）の対応は、範囲外のことが多い
保守・運用の会社	すでに保守契約がある場合	契約の範囲に、PHPの更新が含まれているかを確認する
現状の調査から相談できる会社	制作会社もサーバーの契約先も分からない、社内に担当者がいない場合	調査、更新、動作確認、報告まで対応してもらえるかを確認する

PHPやWordPressの更新・確認の依頼先でお困りの企業様へ

マザーハンズ株式会社は、広島市中区で2017年から、ホームページの制作、WordPressの運用・保守、Web集客のご支援を行っています。PHPの脆弱性やWordPressの更新に関するご相談は、即日対応でお受けしています。

「どこに頼めばよいか分からない」「制作会社と連絡が取れない」「サーバー会社に何を聞けばよいか分からない」「PHPのバージョンが分からない」「更新してサイトが動くか不安」といった状況でも、まずはご相談ください。

ご相談の流れ（目安）

1. お問い合わせ：お問い合わせフォームから、サイトのURLと、困っている内容をお知らせください。分からない項目は、空欄で構いません
2. 現状の確認：PHPやWordPressのバージョン、サーバーの種類、更新の必要性を確認し、結果をご案内します
3. 方針とお見積もりのご提案：何を、どこまで行うかを整理して、ご提案します
4. 更新作業と動作確認：バックアップを取ったうえで作業を行い、フォームなど主要な機能の動作を確認して、結果をご報告します

ご相談の際に、分かる範囲でお知らせいただきたいこと

• サイトのURL（複数ある場合は、すべて）
• サーバーの契約先（分かる場合）
• 以前の制作会社や、保守の担当者（分かる場合）
• サイトで特に止められない機能（お問い合わせ、予約、通販など）

「更新の判断だけ相談したい」「現状の確認だけ頼みたい」といったご相談も、お受けしています。

参考情報

• PHP公式サイト（ニュースおよびセキュリティアドバイザリ）
• IPA：PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
• 制作会社視点のWordPress 7.0移行実務 ―― 本番アップデート前に確認すべきこと