WordPressは本当に危ないのか｜PHPの騒ぎで私が2日でやった総点検と、あなたが今やること

10月21日、PHPに見つかっていた重大な安全上の問題2つについて、くわしい内容と修正版が公式に発表されました。PHPは、WordPressをはじめ、多くのブログや会社のサイトが動いている土台の仕組みです。

SNSでは「WordPressはもう危ない」「今すぐ乗り換えを」という声が一気に広がりました。私のところにも、コアメンバーの方から「大丈夫ですか」という連絡が何件も来ました。

私自身、このブログを含めて、WordPressのサイトをいくつも運営しています。そこで今回、AIに手伝ってもらいながら、サーバーの中を2日かけて総点検しました。

先に、私の考えを書きます。

今回の件だけを理由に、WordPressをやめる必要はありません。ただし、WordPressは設置したら終わりではありません。長く安全に使うには、更新や、いらないものの片付けといった日頃の管理が欠かせません。

点検してみて、私自身がそれを思い知りました。この記事では、何が起きたのか、私のサーバーで何が見つかったのか、サイトを持っている人が今やることを、順に書いていきます。

10月21日に何が起きたのか

見つかったのは、WordPressではなく、PHPそのものの問題です。番号はCVE-2026-109618とCVE-2026-109619の2つで、見つけた研究者の側の投稿では「php2shell」と呼ばれています。危険さを表す点数は、10点満点で9.2でした。悪用されると、サーバーを乗っ取られるおそれがあるものです。

修正版は、日本時間の10月21日23時に出ました（PHP 8.2.35、8.3.36、8.4.27、8.5.12）。8.1以前の古い版には、PHPを作っている所からの修正は出ていません。

WordPressの問題ではないので、WordPress以外でも、問題のある版のPHPで動いているサイトやサービスは、影響を受ける可能性がありました。

一般的なレンタルサーバー（ほかの人と1台のサーバーを分け合う形）では、PHPの対策はサーバー会社が行うことが多いです。ただ、対応は会社や契約によって違います。VPSや専用サーバーのように、自分でサーバーを管理する形なら、自分で更新が必要です。

私が使っているエックスサーバーは、10月21日の夕方から管理画面を止めて対策に入り、同社の公式Xで次のように発表しました。

・10月22日朝6時44分　PHP 8.2〜8.5 の修正が、対象のすべてのサーバーで完了
・10月22日昼12時08分　PHP 7.4〜8.1 も完了
・10月22日午後2時03分　PHP 5.6〜7.3 も完了

管理画面は10月22日の午前に再開しましたが、私が確かめた範囲では、その日の夜までつながりにくい状態が続いていました。

WordPressそのものは、どのくらい危ないのか

「WordPressは古い仕組みだから、根本から危ない」という意見もあります。

WordPressの安全を調べている会社Patchstackの集計では、2025年に報告されたWordPress関連の安全上の問題は11,334件で、そのうち約91%がプラグイン、約9%がテーマに関するものでした。WordPress本体で報告されたものは6件でした。

ただし、これは「見つかった問題の件数」です。実際に乗っ取られたサイトの原因の91%がプラグインだった、という意味ではありません。

それでも、サイトを管理するうえで、次のような状態には気をつけたいところです。

・長いあいだ更新していないプラグイン
・使わないまま残しているプラグインやテーマ
・作ったことを忘れている古いサイト
・使い回しているパスワード

私は、WordPressそのものが危ないというより、日頃の管理が大事なのだと考えています。

私のサーバーで見つかったこと

では、私のサーバーはどうだったか。正直に書きます。

点検してみると、想像していたより多くの問題が出てきました。

・古い版のPHPのままのドメインが4つ
・WordPressの公式の配布元で、配布が止められていたプラグインが4つ（うち3つは安全上の問題が理由）
・使っていないプラグインやテーマが60個以上
・何年も前に作って忘れていた古いサイトや試しのサイト、素材の置き場が6か所
・控え（バックアップ）の置き場所に問題があった
・心当たりのない管理者のアカウントが1つ（サイトを作ったときのものと見られます）
・使っていないデータベース（記事や設定を保存しておく所）が18個

どれも、今回のPHPの問題とは別の話です。ただ、こうした状態を放っておくと、不正アクセスや情報の流出につながることがあります。今回まとめて見直せたのは、よかったと思っています。

WordPressの公式の配布元で配布が止められたプラグインは、原則として、その配布元からの更新が届かなくなります。安全上の問題が理由で止められている場合は、とくに注意が必要です。今回はどれも無くても困らないものだったので、控えを取ってから消しました。

片付けは、次のように進めました。

・古い版のPHPを、すべて8.3に上げる。上げた直後に、表示と管理画面が普通に動くかを確かめる
・WordPress本体とプラグインを最新にする
・配布が止められたプラグインと、使っていないプラグインやテーマを、控えを取ってから消す
・古いサイトは、中身を控えてから消して、古い住所は今のページへ転送する
・控えを、外から取れない場所へ移す
・心当たりのない管理者を消す
・使っていないデータベースを消して、メインのデータベースを新しい版へ移す
・毎朝、各サイトが開くかを自動で確かめ、毎週、サーバーの中まで点検して結果をメールで受け取る
・毎週、サーバーの外にも控えを取る

私はプログラマーではありません。ターミナル（パソコンに文字で命令を打ち込む画面）も使えません。

今回は、AI（Claude）に調べものと作業を手伝ってもらいました。大きな変更の前には必ず控えを取り、何を消すか、何を変えるかは、私が内容を聞いて確かめてから進めてもらっています。

AIはとても頼りになりますが、サーバーの操作を何でも丸投げしてよいわけではありません。データを消す作業は元に戻せないことがあります。同じことをするなら、控えを取ることと、分からないことを分からないままにしないことが大事です。

サイトを持っている人が、今やる5つ

全部を一度にやる必要はありません。まずはこの5つです。

1. PHPの版を確かめる

サーバーの管理画面で、PHPの版を見てください。8.1以前は、PHPを作っている所の手入れが終わった版です。8.2も2026年12月末で手入れが終わる予定なので、上げるなら8.3以上が安心です。今回の修正が入っているかは、サーバー会社の案内で確かめましょう。

版を変えるときは、先に控えを取り、変えた直後にサイトが普通に動くかを確かめます。表示がおかしくなったら、古い版に戻して放っておかず、サーバー会社や制作会社に相談してください。

2. WordPress本体とプラグインの更新を確かめる

管理画面の「更新」で、新しい版が出ていないかを見ます。更新の前には控えを取り、更新のあとはサイトが普通に動くかを確かめてください。

自動更新も便利ですが、サイトによっては更新で不具合が出ることもあります。制作会社に管理を任せている場合は、自分で設定を変える前に、担当の方に相談してください。

3. 使っていないプラグインとテーマを片付ける

止めてあるだけのものも、いらなければ控えを取ってから消しましょう。止めていても、置いてあるだけで弱点になることがあります。

4. 管理者を確かめる

ユーザーの一覧で、心当たりのない管理者がいないかを見ます。制作会社に作ってもらったサイトは、制作のときのアカウントが残っていることがあります。

知らない管理者が見つかっても、すぐに消さず、まず制作会社などに確かめてください。不正に作られたおそれがある場合は、消すだけで済ませず、パスワードの変更や、不正なアクセスがなかったかの調査も必要です。

5. 控えの置き場所を確かめる

バックアップのプラグインで取った控えが、外から取れる場所に保存されていないかを確かめましょう。控えには、サイトの設定や大切な情報が入っていることがあります。

また、サーバーの故障やトラブルに備えて、サーバーの外（自分のパソコンやクラウド）にも控えを置いておきましょう。クラウドに置く場合も、ほかの人に公開されない設定になっているかを確かめてください。

あわせて、騒ぎに便乗した偽メールにも気をつけてください。サーバー会社などを名乗って「至急ログインして更新してください」という連絡が来ても、メールのリンクはすぐに開かず、いつものブックマークから公式サイトに入ってください。

制作会社に任せている方は、この5つを担当の方に聞いてみてください。

「WordPressは危ない」という投稿と、どう付き合うか

ここ数日、「WordPressはもう危ない」「今すぐ乗り換えを」という投稿を本当によく見かけました。

いくつか読んでみると、最後に乗り換えのサービスや有料の相談の案内がついているものが少なくありませんでした。

私は、有料のサービスや相談を案内すること自体が悪いとは思いません。ただ、必要以上に不安を大きく見せたり、ほかの選び方を説明せずに乗り換えだけを勧めたりするのは、違うと思っています。投資の世界でも、不安をあおって、その不安を消すものとして商品を出す形を、私は何度も見てきました。

今回のPHPの修正は、私の場合はエックスサーバーが行ったもので、追加の費用はかかっていません。サイトの状態によっては、制作会社に点検をお願いする費用が必要になることはあります。

不安になる投稿を見たら、次の3つを考えてみてください。

・何が起きていて、どんな直し方があるのか
・その直し方に、本当にお金や乗り換えが必要なのか
・公式の発表（PHPやサーバー会社）では、何と言っているか

自分で判断がつかないときは、その投稿の文章をAIに貼って、こう聞いてみるのも一つの方法です。

「この投稿の内容は正しいですか。言い過ぎのところはありますか。公式の情報はどこで確かめられますか」

私も今回、気になった投稿は、この形でAIに確かめてから、公式の発表を自分で見に行きました。AIも間違えることがあるので、最後は公式の情報で確かめるのが安心です。

まとめ

・今回の騒ぎは、WordPressではなくPHPの問題でした。エックスサーバーでは、10月22日のうちに修正が完了しています。ほかのサーバーは、その会社の案内を確かめてください
・WordPress関連で見つかる問題の多くはプラグインです。大事なのは、日頃の管理
・サイトを持っている人は、PHPの版、更新、使っていないものの片付け、管理者、控えの置き場所の5つを確かめる
・不安になる投稿を見たら、まず公式の発表を見る。迷ったらAIにも聞いて、最後は公式の情報で確かめる

私自身、点検するまでは、自分のサーバーにこれほど問題が残っているとは思っていませんでした。乗り換えを考える前に、まず一度、自分のサイトの今の状態を確かめてみてください。

今回、AIにどう頼んで、どんな順番で点検を進めたかは、別の記事（有料）にくわしくまとめる予定です。

参考

・PHP公式の発表
・エックスサーバー公式X（10月22日12時08分）
・エックスサーバー公式X（10月22日14時03分）
・Patchstack「State of WordPress Security in 2026」

Next次に読まれている記事