PHPのセキュリティチームが、重大な脆弱性2件を直すセキュリティリリースを、日本時間2026年10月21日23:00に出すと発表しました。PHPでサイトやWordPressを動かしている人、サーバーを管理している人は、今のうちに自分のPHPの版を確かめ、リリースが出たら（予定は23:00）すぐに更新できるよう準備してください。
結論：今は版を確かめて準備、リリースが出たら更新
- 内容：PHPの重大な脆弱性2件。どちらも深刻度は CVSS v4.0で9.2（Critical）（PHP公式の発表）
- 修正版の公開：2026年10月21日 14:00 UTC（日本時間 23:00）の予定。脆弱性の中身が表に出たり、実際の悪用が見つかったりした場合は、予定より早く出すことがあるとしています
- 影響する版・直った版：PHP公式は、修正版を10月21日23:00（日本時間）に出す予定と発表していて、影響する版と直った版もそのときに公開するとしています
- 今やること：自分のPHPの版と、その版がまだサポートされているかを確かめる
PHP公式が発表していること
PHP公式サイトのニュース（2026年10月20日付「Upcoming Critical PHP Security Release」）と、PHPのお知らせ用メーリングリスト（php.announce）に、ほぼ同じ内容の告知が出ています。主な内容は次のとおりです（最後の項目はニュースのほうにだけ書かれています）。
- 重大な脆弱性2件を直すセキュリティリリースを、2026年10月21日 14:00 UTC に出す
- 2件とも、CVSS v4.0で9.2（Critical）
- PHPを使う人は全員、公開されたらすぐ更新できるよう、今から準備してほしい
- 脆弱性の中身が表に出たり、実際の悪用が見つかったりした場合は、予定より早く出すことがある
- 詳しい内容、影響する版、直った版は、リリースと一緒に公開する
影響する版・直った版
PHP公式は、修正版を10月21日23:00（日本時間）に出す予定と発表しています。脆弱性の詳しい内容、影響する版、直った版は、そのリリースと一緒に公開するとしています。自分のブランチの修正版の番号は、リリースが出たら（予定は日本時間23:00）、PHP公式サイトのニュースで確かめてください。
自分のPHPの版を確かめる
サーバーにログインできる場合
コマンドラインで次のように打つと、PHPの版が出ます。
php -v1行目の「PHP 8.x.x」が版です。後ろの (cli) は、コマンドライン用のPHPであることを表します。サイトを動かしているPHPとコマンドライン用のPHPは別に入っていることがあるので、サイト側の版は、次のWordPressの画面などでも確かめてください。
WordPressの管理画面で確かめる場合
管理画面の［ツール］→［サイトヘルス］→［情報］タブを開き、「サーバー」の欄を開くと、「PHP バージョン」の所に、サイトで動いているPHPの版が出ます。
レンタルサーバーを使っている場合
サーバーにログインしない使い方なら、上のWordPressの画面で確かめるか、使っているサーバー会社のマニュアルで、PHPの版の確かめ方を調べてください。
その版がまだサポートされているか確かめる
PHP公式の「Supported Versions」のページでは、2026年10月21日の時点でサポートされているのは次の4つです。
| ブランチ | 通常のサポート | セキュリティ修正のみのサポート |
|---|---|---|
| 8.2 | 2024年12月31日に終了 | 2026年12月31日まで |
| 8.3 | 2025年12月31日に終了 | 2027年12月31日まで |
| 8.4 | 2026年12月31日まで | 2028年12月31日まで |
| 8.5 | 2027年12月31日まで | 2029年12月31日まで |
PHP 8.1は2025年12月31日にサポートが終わり、8.0や7.x以前も終わっています。PHP公式は、サポートが終わった版を使っている人に対して、直されていない脆弱性があるおそれがあるので、できるだけ早く新しい版に上げるよう求めています。8.1以前を使っている場合は、サポート中のブランチへの移行も考えてください。WordPressのテーマやプラグインが新しい版で動くかも、あわせて確かめてください。
リリースが出たらやること（予定は日本時間23:00）
- PHP公式サイトのニュース（php.net）で、自分のブランチの修正版の番号と、影響する版を確かめる
- 自分でPHPを入れて管理しているサーバーは、自分のブランチの修正版に上げる
- OSのパッケージ（apt や dnf など）でPHPを入れている場合は、使っているOS・配布元の更新の案内を確かめ、更新が出たら入れる
- レンタルサーバーを使っている場合は、サーバー会社のお知らせを確かめ、その案内に従って更新する
- 更新のあとに、もう一度版を確かめる
php -vWordPressの場合は、サイトヘルスの「サーバー」の欄でも、版が上がったかを確かめてください。
リリースまでにしておくとよい準備
- PHPが動いているサーバーやサイトを、すべて書き出しておく（本番だけでなく、テスト用や古いサイトも）
- それぞれのPHPの版と、更新するのが自分か、サーバー会社かを分けておく
- サイトのバックアップを取っておく
- 更新の作業をする人と時間を決めておく
参考リンク（PHP公式）
- Upcoming Critical PHP Security Release（PHP News Archive 2026、2026年10月20日）
- [ANNOUNCE] Upcoming Critical PHP Security Release（php.announce #509）
- Supported Versions（php.net）
- Unsupported Branches（php.net）
- コマンドラインのオプション（PHPマニュアル）
- PHP をコマンドラインから使用する（PHPマニュアル）
- Site Health Screen（WordPress.org）
- class-wp-debug-data.php（WordPressのソース、サイトヘルスの「サーバー」の欄）
確認日：2026年10月21日
コメント