2026年10月21日、PHP開発チームより、PHPに存在する2件の重大なセキュリティ脆弱性について発表がありました。
今回公表された「CVE-2026-109618」「CVE-2026-109619」は、認証されていない外部からのアクセスによって、遠隔から任意のコードを実行される可能性がある重大な脆弱性です。
PHPはWordPressをはじめ、多くのWebサイトやWebシステムで利用されています。
そのため、WordPressサイトを運営している企業や店舗、事業者にとっても、今回のPHP脆弱性は決して無関係ではありません。
HOOKでは今回の発表を受け、自社サイトのPHP・WordPress・サーバー・セキュリティ設定を改めて確認し、必要な対策を実施しました。
今回発表されたPHP脆弱性について
PHP公式は2026年10月21日、2件の重大な脆弱性を修正したセキュリティアップデートを公開しました。
PHP 8.3系では「PHP 8.3.36」が修正版として公開されており、PHP公式は利用者に対して速やかなアップデートを推奨しています。
今回の問題についてPHP公式は、WAFなどによる完全な代替対策はなく、修正版PHPへの更新が必要であると案内しています。
今回の脆弱性はWordPressそのものに存在する問題ではありません。
WordPressのさらに下でWebサイトを動かしている「PHP」というシステムに関係する問題です。
そのため、
「WordPressを最新版にしているから大丈夫」
「プラグインを更新しているから問題ない」
というだけでは十分ではなく、PHPを含めたWebサイト全体の環境を確認する必要があります。
HOOKサイトはPHP 8.3.36へ対応済みです
HOOK公式サイトでは、2026年10月22日時点で、今回の脆弱性が修正されたPHP 8.3.36で稼働していることを確認しています。
現在の主なシステム環境は以下のとおりです。
・WordPress 7.1.3
・PHP 8.3.36
・MariaDB 10.11.18
・Linuxサーバー環境
・WordPress親テーマ 最新版
・WordPressプラグイン 最新版
WordPressについても、2026年10月6日に公開されたWordPress 7.1.3へ更新しています。
WordPress 7.1.3には7件のセキュリティ修正と4件のバグ修正が含まれており、WordPress公式からも速やかな更新が推奨されています。
PHPを更新するだけでなく、多層的なセキュリティ対策を行っています
今回のPHP脆弱性について最も重要なのは、修正版PHPへのアップデートです。
一方で、Webサイトへの攻撃方法はPHPの脆弱性だけではありません。
HOOKでは、PHPやWordPressを最新版に保つだけでなく、Webサイトに到達するまでの複数の段階でセキュリティ対策を行っています。
現在は、下記のように複数のレイヤーでWebサイトを保護しています。
インターネット
↓
Cloudflare
↓
Xserver WAF
↓
WordPress
↓
PHP
CloudflareによるWAF・BOT対策
HOOKではWebサイトへのアクセスをCloudflare経由とし、Cloudflare Freeプランで利用可能なWAF機能を利用しています。
Cloudflare WAFは、Webサイトへのアクセス内容を確認し、不審なリクエストなどをWebサーバーへ到達する前に検知・制御する仕組みです。
Freeプランでは「Cloudflare Free Managed Ruleset」が標準で展開され、影響の大きい既知の脆弱性などに対する保護が提供されています。
さらにHOOKでは、WordPressの構成に合わせて独自のアクセス制御も設定しています。
現在は、下記などを設定しています。
・WordPress管理画面へのアクセス保護
・WordPressログイン画面へのレート制限
・XML-RPCへの外部アクセス遮断
・wp-config.phpなど機密ファイルへのアクセス遮断
・アップロードフォルダ内のPHPファイルへのアクセス遮断
これにより、不必要なアクセス経路を減らし、WordPressを狙った自動攻撃への対策を行っています。
Bot Fight Modeによる自動BOT対策
Cloudflareの「Bot Fight Mode」も有効化しています。
Bot Fight Modeは、自動化されたBOT特有のアクセスパターンを検知し、必要に応じてCloudflare側でチャレンジ処理を行う機能です。
Cloudflare Freeプランでも利用することができ、ドメイン全体に対してBOTトラフィックへの対策を行えます。
設定後はWebサイトの通常閲覧だけでなく、お問い合わせフォームの送受信についても動作確認を行っています。
お問い合わせフォームにはCloudflare Turnstileを導入
お問い合わせフォームには、Cloudflare TurnstileによるBOT・スパム対策も導入しています。
お問い合わせフォームは、営業メールや自動送信BOT、不正な大量送信などの対象となることがあります。
Turnstileを利用することで、利用者への負担をできるだけ抑えながら、自動化されたアクセスを判定する仕組みを導入しています。
なお、Turnstileは今回のPHP脆弱性そのものを修正するものではありません。
それぞれの対策には役割があり、これらを組み合わせることで、ひとつの対策だけに依存しない環境を構築しています。
・PHPアップデート
・WAF
・BOT対策
・ログイン保護
・フォーム対策
Xserver側でもWAFを有効化しています
Cloudflareだけでなく、Webサーバー側でもWAFを有効化しています。
HOOKが利用しているXserverでは、これらをすべて有効化しています。
・XSS対策
・SQLインジェクション対策
・ファイル不正アクセス対策
・メール不正送信対策
・コマンド実行対策
・PHP関連の不正アクセス対策
XserverのWAFは、Webアプリケーションの脆弱性を狙った不正アクセスを検知し、アクセスを拒否する仕組みです。
つまり、
CloudflareでWebサイトへ到達する前に対策
↓
Xserverでも不審なアクセスを検知
↓
WordPress・PHP自体も最新版に維持
という多層的な構成にしています。
ただし、WAFはあくまで補助的な防御です。
Xserver自身も、WAFは最低限の予防策であり、根本的な対応としてアプリケーションを最新版へ更新することが必要と案内しています。
今回のPHP脆弱性についても、WAFだけに頼るのではなく、PHP 8.3.36への更新を行ったうえで追加の防御策としてWAFを利用しています。
Webサイトが表示されている＝安全とは限りません
Webサイトの管理で注意したいのが、
「普通にホームページが表示されているから問題ない」
という判断です。
PHPやWordPressが古い状態でも、Webサイト自体は問題なく表示され続けることがあります。
しかし、
「表示できる」
ことと、
「安全に運用できている」
ことは別です。
例えば、
・古いPHPを使用している
・WordPress本体が更新されていない
・プラグインが数年間更新されていない
・使用していないプラグインが残っている
・WAFが無効になっている
・管理者アカウントのパスワードが弱い
・バックアップ状況が分からない
といった状態でも、通常通りWebサイトが表示される場合があります。
そのため、見た目だけではWebサイトの安全性を判断できません。
個人情報を扱わないホームページでも対策は必要です
「お問い合わせフォームしかない会社サイトだから大丈夫」
「ECサイトではないので個人情報をほとんど扱っていない」
と思われるケースもあります。
しかし、個人情報を大量に保有していないWebサイトでも、攻撃対象になる可能性があります。
Webサイトが侵害されると、
・ページを書き換えられる
・不正なページを設置される
・迷惑メール送信に悪用される
・別サイトへの攻撃の踏み台にされる
・不正プログラムを設置される
・検索エンジンから危険なサイトと判定される
・検索順位に影響する
などの被害につながる可能性があります。
Webサイトの規模や個人情報の量に関係なく、インターネット上に公開している以上、一定の管理は必要です。
ホームページは「制作して終わり」ではありません
WordPressやPHP、テーマ、プラグインなどのWeb技術は、継続的に更新されています。
それに伴って、新しい脆弱性が発見されたり、セキュリティアップデートが公開されたりします。
そのため、ホームページは一度制作して公開すれば永久に同じ状態で使い続けられるものではありません。
HOOKでは、Webサイト制作だけでなく、
・WordPressのバージョン確認
・PHPのバージョン確認
・テーマ・プラグインの更新確認
・サーバー環境の確認
・WAFの設定確認
・BOT・スパム対策
・ログイン環境の確認
・バックアップ環境の確認
・セキュリティ情報の確認
など、公開後の運用・管理も重要だと考えています。
「自社サイトが対象かわからない」という場合もご相談ください
今回のPHP脆弱性について、
「自社サイトが影響を受けるのかわからない」
「そもそもPHPのバージョンを確認したことがない」
「WordPressを何年も更新していない」
「以前の制作会社との契約が終了している」
「現在誰がWebサイトを管理しているのかわからない」
といった企業・事業者の方もいらっしゃると思います。
必ずしも、すぐに大掛かりな改修が必要になるわけではありません。
まずは、
・使用しているPHP
・WordPress
・テーマ
・プラグイン
・サーバー環境
・セキュリティ設定
など、現在の状態を確認することが重要です。
そのうえで、
「今すぐ対応が必要なのか」
「今後の更新で問題ないのか」
「どこまで対策すればよいのか」
を整理することができます。
HOOKでは、既存のWordPressサイトについても、現在のシステム環境や更新状況の確認、保守・管理についてご相談いただけます。
Webサイトの管理に不安がある場合は、お気軽にお問い合わせください。