はじめに
2026年10月21日、PHPの脆弱性を修正したバージョンが公開されました。
公開に先立ち、情報処理推進機構（IPA）も注意喚起を行っていました。
こうしたセキュリティ情報が公開された際、WordPressを利用している人は、自分のサイトが影響を受けるのか、どのように対処すればよいのかを確認する必要があります。
今回、SWELLのフォーラムには、PHPの脆弱性に関連して、利用中のPHPのバージョンについて質問する投稿がありました。
この投稿をきっかけに考えたいのは、WordPressを構成する各要素の役割を理解し、問題が発生した際に適切な対応を取れるかということです。
WordPressは、テーマを導入するだけでサイトを作れる便利な仕組みです。
しかし、安全に運営するには、テーマだけでなく、WordPress本体、プラグイン、PHP、サーバー環境についても理解しておく必要があります。
この記事では、PHPの脆弱性を例に、WordPressを構成する要素の関係と、初心者が確認すべきことや取るべき行動について解説します。
PHPの脆弱性は、SWELLの問題なのか？
まず理解しておきたいのは、WordPressサイトはテーマだけで動作しているわけではないということです。
テーマやプラグインはWordPress上で動作し、WordPress本体はPHPを利用します。
そして、PHPはサーバー環境上で実行されます。
レンタルサーバーは、そのサーバー環境をサービスとして提供しています。
それぞれの役割を整理すると、次のようになります。
| 項目 | 主な確認・更新対応 | 役割・責任範囲 |
|---|---|---|
| テーマ | サイト運営者 | サイトのデザインや表示機能を提供する。 テーマ固有の不具合や、WordPress本体・PHPとの互換性などを確認する。 |
| プラグイン | WordPressに機能を追加する。 プラグイン固有の不具合や脆弱性、対応するWordPress・PHPのバージョンなどを確認する。 | |
| WordPress本体 | サイトを管理・運営するための基本機能を提供する。 WordPress本体の脆弱性や更新については、WordPress側の情報を確認する。 | |
| PHP | サーバー事業者 | WordPress本体やテーマ、プラグインの処理に使われるプログラミング言語。 PHP自体の脆弱性には、修正版への更新などでサーバー事業者が対応する必要がある。 |
| レンタルサーバー | サーバー環境を提供するサービス。 PHPのバージョン変更やセキュリティ更新などについて、サービスの仕様に応じた管理・対応を行う。 |
表1に、WordPressサイトを構成する各要素の役割と、サイト運営者が確認・更新するもの、レンタルサーバー側の対応を確認するものを整理します。
初心者がまず理解すべきなのは、テーマを更新するだけでは、PHP自体の脆弱性は修正できないということです。
PHPに脆弱性が見つかった場合、テーマに問題があると決めつけるのではなく、PHPのバージョンやレンタルサーバー側の対応状況を確認する必要があります。
もちろん、PHPの更新によってテーマやプラグインとの互換性に問題が生じることはあります。
そのため、それぞれの役割を理解したうえで、必要な情報を確認することが大切です。
まずはWordPressのサイトヘルスを確認する
PHPの脆弱性に関する情報を見たら、最初に行いたいのが、自分のサイトで利用しているPHPのバージョンを確認することです。
WordPressでは、管理画面の「サイトヘルス」から確認できます。
- WordPressの管理画面を開く。
- ツール→サイトヘルスを開く。
- 「情報」タブを選択する。
- 「サーバー」の項目を開く。
- PHPのバージョンを確認する（図1参照）。
表示されたバージョンを、PHP公式サイトなどで公開されている脆弱性情報や修正版の情報と照らし合わせます。
ここで重要なのは、単にバージョンを確認して終わりにしないことです。
| PHP | 修正後のバージョン |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
公表された脆弱性の影響を受けるバージョンなのか、修正版が公開されているのかを確認し、自分のサイトで対応が必要かどうかを判断します。
ただし、サイトヘルスでPHPのバージョンを確認できても、そこから直接PHPを更新できるわけではありません。
実際の変更方法は、利用しているレンタルサーバーによって異なります。
レンタルサーバー側の対応を確認する
PHPのバージョンを確認したら、次に利用しているレンタルサーバーの公式サイトや管理画面で、PHPの脆弱性への対応状況を確認します。
確認したいのは、主に次の内容です。
- 利用中のPHPバージョンに対して、レンタルサーバー側でPHPの更新が行われるのか。
- 利用者自身での作業があるのか。
- PHPのバージョン変更にあたり、注意すべき点があるか。
レンタルサーバーによって、PHPの更新方法や提供状況は異なります。
自動的に更新される場合もあれば、利用者が管理画面から変更する必要がある場合もあります。
そのため、PHPの脆弱性が公表されたら、まずはサービス提供側の案内を確認し、どのような対応が必要なのかを把握しましょう。
WordPressを安全に運営するために
WordPressを安全に運営するために
WordPressは、専門的なプログラミング知識がなくてもサイトを構築しやすい仕組みです。
しかし、サイトを簡単に作れることと、安全な状態を維持できることは別です。
例えば、以下の事例のように、WordPress本体が5.4.21、PHPが5.6.40といった古いバージョンのまま放置されている場合、サイトの安全性を維持するうえで大きな問題となります。
テーマを最新版に更新していても、WordPress本体やプラグイン、PHPなどに必要な対応が残っている可能性があります。
テーマだけでなく、サイトを構成する各要素が適切に管理されているかを確認することが重要です。
また、WordPressの安全性を維持するためには、日頃からアップデートを行うことも重要です。
Cocoonのフォーラムには、サイトの改ざんに関する投稿も寄せられています。
この件は、今回取り上げているPHPの脆弱性とは別の問題です。
しかし、WordPressサイトを安全に運営するためには、日頃からセキュリティ対策を意識しておく必要があります。
WordPress本体やテーマ、プラグインでは、機能の改善だけでなく、セキュリティ上の問題を修正するためのアップデートも提供されます。
サイト運営者は、更新情報を確認し、必要なアップデートを適切に適用していくことが大切です。
もちろん、アップデートによってテーマやプラグインとの互換性に問題が生じたり、レイアウトや表示に影響が出たりする可能性はあります。
しかし、そうした影響を心配して更新を放置すれば、修正済みの脆弱性を悪用されるリスクが残ります。
レイアウトへの影響を避けることだけを優先し、セキュリティ更新を放置してはいけません。
更新前にバックアップを取り、必要に応じて動作確認を行うなど、影響に備えながら適切にアップデートを進めましょう。
また、レンタルサーバーを利用していても、すべての更新や管理が自動的に行われるとは限りません。
どこまでがサービス提供側の管理範囲で、どこからが利用者自身の対応範囲なのかは、サービスの仕様によって異なります。
サイト運営者は、すべての技術を自分ひとりで理解して問題を解決する必要はありません。
しかし、少なくとも次のことは把握しておきたいところです。
- WordPress本体、テーマ、プラグイン、PHPがそれぞれ異なる役割を持つこと。
- 脆弱性の情報が公開されたら、利用中の環境が影響を受けるか確認すること。
- WordPress本体、テーマ、プラグインの更新情報を確認し、必要なアップデートを放置しないこと。
- 更新前のバックアップなど、トラブルに備えた管理を継続して行うこと。
- PHPやサーバー環境の対応については、レンタルサーバー側の案内を確認すること。
重要なのは、すべてを自分ひとりで解決することではありません。
問題の内容を理解し、公式情報を確認して、適切な対応につなげることです。
さいごに
WordPressを安全に運営するには、テーマやプラグイン、WordPress本体、PHP、サーバー環境それぞれの役割と責任範囲を理解することが大切です。
脆弱性の情報を見たときは、必要以上に不安になるのではなく、まずPHPのバージョンを確認し、レンタルサーバー側の対応状況を調べたうえで、必要な対策を講じましょう。
WordPressの仕組みを正しく理解し、脆弱性のリスクを正しく恐れ、状況に応じて適切に対応できるようにしておきましょう。
