naisei.dev › PHPとWordPressの穴
無料・3分
PHPとWordPressの穴、
うちのホームページは大丈夫？
2026年10月21日、多くのホームページを動かしている PHP に、ログインなしで外からプログラムを動かされるおそれのある穴が2つ見つかり、修正版が出ました。 9月には WordPress 本体の穴が、修正の当日から攻撃に使われています。 版の番号を2つ入れるだけで、自分のサイトが直っているかの目安が分かります。
- サイトには何もしません
- 入れた番号はどこにも送られません
- 制作会社への確認文つき
何が起きたか
-
10/21
PHP の修正版（8.5.12・8.4.27・8.3.36・8.2.35）。重大な穴が2つ（深刻度 9.2）。PHP で動くホームページは、ほぼすべてが対象です。PHP 8.1 以前には、公式の修正版が出ません。
-
9/22
WordPress 本体の穴（深刻度 9.2）。修正版が出たその日に攻撃が始まり、翌日には10倍に増えました。条件がそろうと、外からプログラムを動かされます。対象は 4.7〜7.1.1 と幅広く、4.6 以前には修正版が出ません。
-
10/6
WordPress 7.1.3。別のセキュリティの修正が7件。古い系列にも順次出ています。
-
12/31
PHP 8.2 の修正が終わる日。8.2 で動いているサイトは、年内に 8.3 以上への切り替えを。
出典：PHP 公式のお知らせ（10月20日・21日）／PHP のサポート期限／WordPress 7.1.3 のお知らせ／9月の WordPress の穴の解説（日本語）
版の番号で確かめる
WordPress の管理画面で、「ツール」→「サイトヘルス」→「情報」を開くと、両方の番号が見られます（「WordPress」の欄と、「サーバー」の欄の「PHP バージョン」）。
版の番号からの目安です。レンタルサーバーの会社が、番号を変えずに中身を直している場合もあります。迷ったら、下の確認文で問い合わせてください。
9月の WordPress の穴が直った版（系列ごと）
| 系列 | 直った版 | 系列 | 直った版 |
|---|---|---|---|
| 7.1 | 7.1.2 | 5.8 | 5.8.17 |
| 7.0 | 7.0.6 | 5.7 | 5.7.19 |
| 6.9 | 6.9.9 | 5.6 | 5.6.21 |
| 6.8 | 6.8.10 | 5.5 | 5.5.22 |
| 6.7 | 6.7.9 | 5.4 | 5.4.23 |
| 6.6 | 6.6.9 | 5.3 | 5.3.25 |
| 6.5 | 6.5.12 | 5.2 | 5.2.28 |
| 6.4 | 6.4.12 | 5.1 | 5.1.26 |
| 6.3 | 6.3.12 | 5.0 | 5.0.29 |
| 6.2 | 6.2.13 | 4.9 | 4.9.33 |
| 6.1 | 6.1.14 | 4.8 | 4.8.32 |
| 6.0 | 6.0.16 | 4.7 | 4.7.37 |
| 5.9 | 5.9.18 | 4.6 以前 | 修正版なし |
制作会社・サーバー会社への確認文
ホームページを制作会社に任せている場合は、これをそのまま送ってください。上で番号を入れると、その番号も文中に入ります。
自分で更新するときは
- 先にバックアップ。サーバー会社の自動バックアップがあるか、いつの分まで戻せるかを見ておきます。
- WordPress を先に、PHP はあとに。古い WordPress のまま PHP だけ上げると、画面が真っ白になることがあります。
- 古すぎる版は無理をしない。4.x や 5.x の前半から一気に上げると、テーマやプラグインごと動かなくなることがあります。制作会社に相談を。
- 更新したら3か所を見る。トップページの表示・問い合わせフォームの送信・管理画面へのログイン。
もう攻撃されていないか心配なときは。9月22日以降のアクセスの記録（ログ）を残しておき、見慣れない PHP のファイルが増えていないかを、制作会社に見てもらってください。
書き換えや不審なファイルが見つかったら、更新だけで終わらせず、専門の会社に調べてもらうのが安全です。
更新を頼める人がいないときは
作った会社と連絡がつかない、古すぎて更新できない。そんなホームページは、WordPress を使わない、更新の手間がない作りへの作り直しもご相談いただけます。今の文章と写真をそのまま使うので、原稿を書き直す必要はありません。
どうしたらいいか分からなければ、LINEで一言。
「WordPress 4.8 と PHP 7.0 だった、どうする？」だけで構いません。何から手をつけるかをお返しします。
よく聞かれること
- レンタルサーバーです。自分で何かする必要はありますか？
- PHP の中身の更新はサーバー会社が行うことが多いですが、PHP の版の切り替え（8.1 → 8.3 など）は、契約者が管理画面で行うことが多いです。WordPress の更新は、契約者か制作会社の仕事です。
- 入れた番号は、どこかに送られますか？
- 送られません。判定はこの画面の中だけで行っています。
- WordPress 以外のサイト（ネットショップのソフトや自作の PHP）は？
- PHP の判定は同じように使えます。WordPress の判定は当てはまりません。
- うちのサイトを外から調べてもらえますか？
- naisei.dev では、持ち主の方の許可なく、外からサイトを調べることはしていません。この画面で、ご自分のサイトの番号を入れて確かめてください。