1. 自社で開発していなくても、影響を確認する
PHPは、サーバーがWebページを作ったり、データを処理したりするための技術です。WordPress公式の要件にも、動作に必要な技術としてPHPが挙げられています。自社でシステムを開発していなくても、利用中のサイトやサービスでPHPが使われていれば、対応が必要になる場合があります。まずは、何にPHPが使われているかを管理者に確認しましょう。
今回の問題には、CVE-2026-109618とCVE-2026-109619という識別番号が付いています。悪用されると、サーバーに不正な処理を行わせるおそれがあります。攻撃者が操作できる範囲は、PHPに与えられた権限などに左右されます。JPCERT/CCの注意喚起では、修正版への更新に加え、不正アクセスを受けていないか調べるよう呼びかけています。WordPressだけに起こる問題ではありません。
2. サイトやサービスごとに、確認先を決める
サイトの制作を依頼した会社が、サーバーの保守やPHPの更新まで担当しているとは限りません。契約内容を確認し、誰に何を依頼すればよいかを整理します。次の表は確認先の例です。
| 利用形態 | 自社で確認すること | 管理者・提供元に確認すること |
|---|---|---|
| 自社で管理するサイト・システム | 担当者、サイトのURL、扱う情報、停止すると困る業務 | PHPのバージョンと設定、更新予定、動作確認、不正アクセスの調査 |
| 制作・保守会社に任せているサイト | 契約窓口、更新の担当範囲、停止・再開を判断する人 | 自社への影響、更新の完了日時、残っている作業 |
| 外部の業務サービス | 利用中のサービス、公式のお知らせ、自社で必要な操作 | 影響を受ける範囲、対策の進み具合、利用者が行うこと、次の報告予定 |
3. 更新が実際のサービスに反映されたかを確かめる
PHP公式が10月21日に公表した修正版は、8.5.12・8.4.27・8.3.36・8.2.35です。製品やOSの提供元が、既存のバージョンに修正を加えて配布する場合もあります。そのため、画面に表示される番号だけで未対応と判断せず、提供元が公表している修正内容と、自社への適用状況を確認します。サポートが終了した古いバージョンを使っている場合は、提供元による修正の有無と、サポート中のバージョンへの移行を確認してください。
管理者から「更新作業は終わりました」と報告を受けたら、公開中のすべてのサイトやサービスで、更新後のPHPが動いているかも確認します。複数のサーバーを使っている場合は、更新漏れがないか、必要な再起動や主要機能の動作確認を終えているかも報告してもらいます。
PHP公式の10月23日付の注意喚起では、特定の設定と処理の組み合わせで起こる別の問題も取り上げられています。10月21日の修正版に更新した後も、追加の設定変更が必要か、システム担当者や管理会社に確認してください。
更新前には、バックアップを取り、問題が起きた場合の復旧手順を用意します。更新後もテーマやプラグインが正しく動くか、問い合わせ・予約・購入などの操作ができるかを確認することも必要です。WordPress公式のPHP更新ガイドでも、バックアップや動作への影響の確認を案内しています。具体的な作業は保守会社や提供元の手順に従い、WordPress本体とPHPをそれぞれ確認してください。
4. 更新前に不正な操作がなかったかも調べる
更新が済んだことだけでは、それ以前に不正な操作がなかったかは分かりません。担当者には、いつからいつまで、どのサーバーや記録を調べたのか、何が分かり、何が分からなかったのかを報告してもらいます。
JPCERT/CCは、攻撃の方法や記録の残り方によっては、痕跡が見つからない場合もあるとしています。異常が見つからなかったことだけで、不正アクセスを受けていないとは断定できません。不審な点があれば、管理者や専門家に記録の保存と調査を依頼し、システムの隔離が必要かどうかも相談します。
専門的な調査を担当しない方も、いつ、どの画面で、何が起きたかを記録して伝えることはできます。サーバーの記録の解析や証拠の保存は、必要な権限を持つ担当者に依頼してください。
5. サービスの停止・再開を誰が判断するか決める
英国NCSCは、更新や暫定的な対策を速やかに行えない場合、システムの停止を検討するよう案内しています。停止するかどうかは、技術担当者から危険性と対策状況の説明を受けたうえで、業務への影響も踏まえて判断します。被害を防ぐためにサービスを止めたことと、不正アクセスや情報漏えいが確認されたことは、分けて説明する必要があります。
次の表は、社内で話し合っておきたい事項をAtlas Supportがまとめたものです。作業を誰に頼むかだけでなく、停止や再開を誰が判断するかも決めておきます。まだ分からないことについては、確認する人と報告期限を決めましょう。
| 状況 | 決めておくこと |
|---|---|
| 自社への影響が分からない | 誰が、どこに、いつまでに確認するか。外部に公開しているサービスや、重要な情報を扱うシステムから優先して調べる。 |
| 更新や追加の対応が終わっていない | 更新予定、暫定的な対策で防げることと残るリスク、サービスを止める必要性、業務への影響。 |
| 不正アクセスの疑いがある | 記録の保存と調査を担当する人、システムを隔離する必要性、関係者への連絡方法。 |
| サービスを再開する | 必要な更新と動作確認の結果、調査で分かったことと分からなかったこと、再開後の監視方法、再び停止する場合の判断基準。 |
6. 管理会社に伝える情報と質問をまとめる
管理会社に確認を依頼するときは、サイトのURLやサービス名、扱っている情報、分かっている状況、停止できない時間帯などを伝えます。質問は、「自社の環境は影響を受けるか」「更新が済み、実際のサービスに反映されているか」「不正な操作の形跡はあるか。自社で何をすればよいか」の三点に分けると、次の対応を決めやすくなります。
PHPの仕組みから社内で共有したい場合は、8ページの解説資料をご利用ください。PDFは2026年10月23日時点の情報をもとに作成しています。この記事で補足した同日の注意喚起は、PDFには含まれていません。
脆弱性診断から改善まで支援します
自社への影響が分からない、更新や調査を任せたい、確認しても不安が残るといった場合は、Atlas Supportにご相談ください。脆弱性診断で問題を調べ、対応の優先順位を整理した改善案をご提案します。修正の支援と、その後の再検証まで対応します。
まずは現在の状況をお知らせください
ご利用中のサイトやサービス、管理会社からの回答、気になる点をお知らせください。最初のお問い合わせに、パスワードや顧客データを添える必要はありません。