FOR AFFILIATES

アフィリエイターの方へ

メンテナンス中はインフォトップのアフィリエイトリンクが使えず、商品のご紹介ができません。あわせて、皆さまご自身の媒体（ブログ・サイト）の確認をお願いします。

アフィリエイターの方がやること

メンテナンス中はインフォトップのアフィリエイトリンクが使えないため、商品のご紹介ができません。あわせて、皆さまの媒体（ブログやサイト）の確認をお願いします。

  1. 紹介の停止をご検討ください

    現在メンテナンスを実施しており、アフィリエイトリンクが無効となっています。
    記事の公開予約やメールの送信予定がありましたら、公開スケジュール、ご案内内容の見直しをお願いします。

  2. 使っている媒体を確認する

    WordPressで作ったブログやサイト、レンタルサーバー上のサイト、メルマガ配信システムなどは、PHPで動いていることがよくあります。

  3. 媒体の運営者に対応状況を確認する

    • レンタルサーバーの場合 → サーバー会社
    • ブログサービスの場合 → ブログの運営会社
    • その他のツールの場合 → 各サービスの提供元

    ご自身でやるべきことがないかもあわせて確認してください。PHPを使っているか分からない場合も、念のため確認をおすすめします。

  4. ご自身で管理しているサイトはPHPを更新する

    確認方法を参考に、PHPを修正版、または8.2以上に切り替えてください。

  5. 更新した後に、改ざんがないか点検する

    記事に見覚えのないリンクやページが増えていないか、知らない管理者ユーザーがいないか確認してください。詳しくはこちら。

無料ブログサービスなど、サーバーを自分で管理していない場合は、基本的に運営会社が対応します。運営会社からのお知らせを確認しておきましょう。
VERSION CHECK

お使いのPHPが安全か、3ステップで判定

サイトで使っているPHPの「バージョン番号」を調べて入力するだけです。入力した番号はこのページの中だけで判定し、どこにも送信しません。

  1. 1
    PHPバージョンを調べる管理画面で確認
  2. 2
    バージョンを入力「判定する」を押す
  3. 3
    結果を見る色で分かる
1

PHPのバージョン番号を調べる

お使いの環境に合わせて、どちらかの画面で確認してください。

WordPressの場合　管理画面の「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」
レンタルサーバーの場合　管理画面の「PHP設定」「PHPバージョン切替」など（名前は会社ごとに違います）
主なレンタルサーバーの公式マニュアル（確認・変更の手順）
レンタルサーバー確認する場所（管理画面）公式マニュアル
エックスサーバーサーバーパネル →「PHP Ver.切替」PHPのバージョンについて
XServerビジネスサーバーパネル →「PHP Ver.切替」PHPのバージョンについて
シン・レンタルサーバーサーバーパネル →「PHP Ver.切替」PHPのバージョンについて
さくらのレンタルサーバサーバーコントロールパネル →「スクリプト設定」→「言語バージョン設定」PHPのバージョンを変更したい
ロリポップ！ユーザー専用ページ →「サーバーの管理・設定」→「PHP設定」PHP設定
ConoHa WINGコントロールパネル →「WING」→「サイト管理」→「サイト設定」→「応用設定」→「PHP設定」PHPの設定をする
mixhostcPanel →「MultiPHP マネージャー」PHPのバージョンを確認する方法
ColorfulBoxcPanel →「ソフトウェア」→「MultiPHP マネージャー」PHPのバージョン変更方法
ヘテムルコントロールパネル →「各種設定」→「PHP」PHPバージョンの変更方法について
お名前.com レンタルサーバー手順は公式ガイドをご確認くださいPHPのバージョンを切り替える
KAGOYA手順は公式マニュアルをご確認ください（プランにより異なります）PHPバージョンの変更
管理画面に「8.3」など系列までしか表示されない場合
細かい番号までは管理画面に出ないことがあります。その場合は、サーバー会社のお知らせで「今回の修正版（8.3.36など）が適用済みか」をご確認ください。
ドメインごとに設定が違うことがあります。複数のサイトをお持ちの場合は、すべてのドメインを確認してください。

メニュー名は2026年10月22日時点の各社公式マニュアルによるものです。管理画面の変更で名前が変わる場合があります。

一番多い間違い：系列を見ずに数字の大きさだけで比べる

修正版の番号は系列（最初の2つの数字）ごとに違います。ほかの系列の修正版と比べても判定できません。

間違った判断
8.4.20＞8.3.36

「修正版の8.3.36より数字が大きいから大丈夫」

× 誤り
正しい判断
8.4.20＜8.4.27

同じ8.4系列の修正版は8.4.27。20は27より小さいので

更新が必要

比べ方：①最初の2つの数字（例：8.4）で系列を確認 → ②一覧表で同じ系列の行を探す → ③最後の番号どうしを比べる（一覧表はこちら）

2

バージョンを入力して「判定する」

番号が手元にない方は、例で試せます：

※OSに付属するPHPは、修正済みでも番号が変わらない場合があります。その場合は提供元の更新情報をご確認ください。

3

結果を確認

まだ判定していません

左にバージョンを入力してください

結果は、下の3色のいずれかで表示されます。

  • 緑：修正済みこのままで大丈夫です。念のため更新後の点検を。
  • 赤：更新が必要修正版に更新、または8.2以上に切り替えてください。
  • 黄：要確認入力の形が違う、またはテスト版などです。
系列ごとの修正版の一覧
系列この番号以上なら修正済み状態
PHP 8.58.5.12サポート中
PHP 8.48.4.27サポート中
PHP 8.38.3.36サポート中
PHP 8.28.2.352026年12月31日でサポート終了
PHP 8.1以前公式の修正版なし8.2以上への切り替えが必要

出典：PHP公式 セキュリティ情報

HOW TO CHECK

PHPのバージョンを確認する方法

お使いの環境に合わせて、いずれかの方法で確認してください。

WORDPRESS

WordPressの管理画面で確認

  1. WordPressの管理画面にログイン
  2. 「ツール」→「サイトヘルス」を開く
  3. 「情報」タブ →「サーバー」を開く
  4. 「PHPバージョン」の欄を確認

参考：WordPress公式「今すぐPHPを更新」

RENTAL SERVER

レンタルサーバーの管理画面で確認

  1. サーバー会社の管理画面にログイン
  2. 「PHP設定」「PHPバージョン切替」などのメニューを開く
  3. サイト（ドメイン）ごとに選ばれているバージョンを確認
  4. 8.1以前なら、8.2以上に切り替える

最新の修正版がいつ適用されるかは、各社のお知らせをご確認ください。

SELF-MANAGED

サーバーを自分で管理している方

コマンドで確認できます。

# コマンドラインのPHP
php -v
# OSのパッケージ（例）
dpkg -l | grep php    # Debian/Ubuntu
rpm -qa | grep php    # RHEL/Alma系

Webで使われているPHP（PHP-FPMなど）が、コマンドのPHPと違うことがあります。更新した後は、PHP-FPMやWebサーバーの再起動も必要です。

確認用に phpinfo() を表示するページを作った場合は、確認が終わったらすぐに削除してください。サーバーの情報が外部から見えてしまいます。

サーバーを管理している方向け：すぐに更新できない場合の一時的な緩和策

PHP開発チームは、次の設定で一部の攻撃経路を減らせるとしていますが、安全になるわけではありません。更新までのつなぎとしてのみお使いください。

設定対象注意点
session.upload_progress.enabled=0CVE-2026-109619php.iniかFPMプールの設定で行い、すべてのPHPワーカーを再起動する。ini_set()や.user.iniでは効果がない
memory_limit=-1CVE-2026-109618アプリ側で上書きできない形（php_admin_valueなど）で設定する。メモリを使い切るリスクがあるため、コンテナやcgroupで上限を設ける
post_max_size を小さくするCVE-2026-109618アップロード不要なら8M、必要なら32M。upload_max_filesizeはそれより小さくする
fatal_error_backtraces=0CVE-2026-109619PHP 8.5のみ。確認されている経路の1つだけを防ぐ

出典：PHP公式 セキュリティ情報（2026年10月21日）

AFTER PATCHING

更新した後に、被害がないか点検する

修正版の公開前から攻撃が観測されていたため、更新した後も被害がないかの確認をおすすめします。セキュリティ企業Aikidoは、2026年6月までさかのぼって確認するよう勧めています。

FOR EVERYONE

サイトの見た目で分かること

  • 見覚えのないページや記事が増えていないか
  • サイトを開くと別のサイトに飛ばされないか
  • WordPressなどに知らない管理者ユーザーがいないか
  • サーバー会社から警告メールが届いていないか
FILES

ファイルの確認

  • 見覚えのないPHPファイルが増えていないか
  • 最近、勝手に更新されたファイルがないか
  • アップロード用のフォルダにPHPファイルが置かれていないか
LOGS（管理者向け）

ログの確認

  • ファイル送信形式（multipart）のリクエストの後に、メモリ上限のエラーや500エラーが続いていないか
  • 異常に長い、または崩れた PHPSESSID のCookieが返されていないか
  • 原因不明のPHPワーカーの再起動や、不審な外部への通信がないか
少しでも不審な点があれば、サーバー会社や制作会社にご相談ください。被害の調査に必要になるため、ログは消さずに保管しておいてください。
PROVIDERS

主なサービス提供元の対応情報

2026年10月22日早朝時点で確認できた情報です。最新の状況は、各社の公式ページで必ずご確認ください。

提供元確認できた内容公式ページ
ロリポップ！PHPの脆弱性への予防措置としてメンテナンスを実施すると告知お知らせ
さくらインターネットさくらのクラウド「データベース アプライアンス」のWeb UI機能（phpMyAdminなど）の提供を10月21日から停止。再開は未定お知らせ
エックスサーバー今回の件に関する個別のお知らせは、調べた範囲では見つかりませんでした。ニュース一覧をご確認くださいニュース一覧
Google CloudGoogle Cloud自体は影響を受けない。ただし、利用者がGoogle Cloud上で動かしているPHPは更新が必要ブログ
CloudflareWAF（Webアプリケーションファイアウォール）による防御策を公開ブログ

報道によると、さくらインターネットのほか、Cygames、pixivなども緊急メンテナンスを発表しました（日経クロステック）。

REFERENCES

参考資料

このページは、以下の公式発表や専門機関・セキュリティ企業の情報をもとに作成しています。

公式発表・公的機関

発見者・セキュリティ企業の解説

FAQ

よくある質問

WordPressを最新にすれば大丈夫ですか？

いいえ、WordPressを最新にするだけでは防げません。必要なのは「PHP」の更新です。

WordPress公式は、今回の脆弱性について次のように発表しています（WordPress公式（日本語訳））。

  • 今回の脆弱性はWordPressに固有のものではなく、PHPで動くアプリケーションを置いているすべてのサーバーが影響を受ける
  • この問題のためにWordPressを更新する必要はなく、WordPressの更新も予定していない
  • 深刻度が高いため、サイトの所有者はすぐにPHPを更新すること

WordPressとPHPの関係は「アプリ」と「それを動かす土台」です。今回は土台の欠陥なので、上に載っているWordPressをいくら新しくしても、土台が古いままでは攻撃を受けます。発見者のWizは、最新版のWordPressで、ログインなしにサーバー上でプログラムを動かせることを実証しています（Wiz Research）。

やること今回の脆弱性への効果補足
PHPを修正版に更新
8.5.12 / 8.4.27 / 8.3.36 / 8.2.35		◎ 必須。これで防げる8.1以前は公式の修正版がないため、8.2以上へ切り替える
ホスティング会社の対応を確認○ 重要会社側でPHPの更新やWAF（攻撃を遮断する仕組み）を導入している場合がある。お知らせに従う
WordPress本体の更新× これだけでは防げないほかの脆弱性対策や、PHPを切り替えた後に正しく動かすために、最新にしておくことは推奨
テーマ・プラグインの更新× これだけでは防げない新しいPHPに対応していないと、切り替え後に表示が崩れることがあるため、事前に更新する
セキュリティ系プラグインの導入△ 期待できない攻撃はWordPressのプログラムが動く前の段階で起きるため、WordPress内の対策では止めにくい（PHP公式）

WordPressサイトでの手順

  1. PHPのバージョンを確認する：管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」。レンタルサーバーの管理画面でも確認できます。
  2. ホスティング会社のお知らせを確認する：すでに会社側で対応済みの場合もあります。
  3. バックアップを取る：ファイルとデータベースの両方を保存します。
  4. WordPress本体・テーマ・プラグインを最新にする：PHPを切り替えた後の不具合を防ぐためです。
  5. PHPを切り替える：8.1以前なら8.2以上へ切り替えます。WordPressのバージョンごとの対応PHPはWordPress公式の対応表で確認できます（例：WordPress 7.0・7.1はPHP 7.4〜8.5に対応）。
  6. 表示と動作を確認する：トップページ、記事、フォーム、管理画面へのログインなど。
  7. 改ざんがないか点検する：知らない管理者ユーザーや見覚えのないファイルがないか確認します。不審な点があればWordPress公式「サイトがハッキングされた」FAQを参考にしてください。
古いPHPで、すぐに更新できない場合
ご自身でサーバーを管理している場合、WordPress公式は「新しいPHPへの更新を準備するあいだ、サーバーをオフラインにすることも検討してください」と案内しています。英国国家サイバーセキュリティセンター（NCSC）も、すぐに対策できない場合はシステムをオフラインにするよう勧めています（NCSC（英語））。

WordPress公式の関連情報：Critical PHP Security Release（英語原文） ／ 今すぐPHPを更新しましょう

無料ブログを使っています。何かする必要はありますか？
サーバーの管理は運営会社が行うため、基本的に運営会社が対応します。運営会社からのお知らせを確認し、案内があればそれに従ってください。
PHP 7.4を使っています。どうすればよいですか？
PHP 8.1以前には、PHP開発チームからの公式な修正版は出ません。PHP 8.2以上への切り替えが必要です。切り替える前に、サイトが新しいバージョンで動くか（テーマやプラグインが対応しているか）をご確認ください。
このページはPHPで動いていますか？
いいえ。このページはPHPを使わない静的なHTMLファイルなので、今回の脆弱性の影響を受けません。外部への送信を行わない設定にしており、バージョン判定もお使いのブラウザの中だけで行っています。