2026年に入り、PHP本体とWordPress本体の両方で、コード実行につながるおそれのある重大な脆弱性が公表され、修正版が出ています。WordPressのサイトをお使いなら、PHPとWordPressのバージョンを確かめて、修正版へ更新するのが先です。そのうえで、更新の手間そのものを減らしたい会社には、サイトを静的サイトに作り変える選択肢があります。この記事は2026年10月23日時点の情報です。
この記事では、何が起きたか、確かめ方、まずやる対策、静的サイト化という選択肢と、そこで失うもの、移行の進め方を順に書きます。WordPressは、更新を続ければ使い続けられます。更新の手間が負担になっている会社のために、作り変えの内容と料金は脱WordPress（静的サイトへの作り変え）にまとめています。
公開されている脆弱性の整理
最初に、公式の情報で確認できる範囲を表にします。PHP本体の件とWordPress本体の件は別の話なので、行を分けています。CVE番号は、脆弱性に付けられる識別番号です。
| 対象 | 番号 | 公開・修正 | 修正版 | いま分かっていること |
|---|---|---|---|---|
| PHP本体 | CVE-2026-109618、CVE-2026-109619 | 修正版を10月21日に公開 | 8.5.12／8.4.27／8.3.36／8.2.35 | リモートからのコード実行につながる重大な脆弱性。検証コード（PoC）は公開済み。カナダ・サイバーセキュリティセンターは悪用を把握していないとしているが、攻撃の試みの報告も出ている |
| WordPress本体（9月） | CVE-2026-87902 | 2026年9月22日公開、7.1.2で修正 | 7.1.2（古い版向けの修正版もあり、4.7系まで提供） | サーバーの環境とテーマの条件がそろった場合に、ログインしていない攻撃者がサーバー上のPHPファイルを読み込ませ、コード実行に至るおそれ。公式は critical（重大）と説明 |
| WordPress本体（7月） | CVE-2026-63030（同時にCVE-2026-60137も修正） | 2026年7月17日公開 | 6.9.5／7.0.2（CVE-2026-60137は6.8.6でも修正） | REST APIの処理の不備から、コード実行に至るおそれ |
PHP本体の脆弱性（CVE-2026-109618、CVE-2026-109619）
PHPは、WordPressをはじめ多くのWebサイトの裏側で動いているプログラム言語です。今回の2件は、リモートからのコード実行につながる重大な脆弱性です。リモートからのコード実行とは、離れた場所にいる第三者が、サーバー上で意図しない処理を動かせてしまうことです。Webサイトの表示にPHPを使っているサーバーは、動かし方の種類（PHP-FPM、mod_php、php-cgi など）を問わず対象です。
修正版は、8.5.12、8.4.27、8.3.36、8.2.35です。php-srcの2件のセキュリティ情報（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）では、10月21日に公開されています。php.netのPHP 8.5.12のリリースページには、更新を促す告知が出ています。
検証コード（PoC）は公開されています。カナダ・サイバーセキュリティセンターは、10月21日付の注意喚起（AL26-026）で、悪用は把握していないとしています。一方、セキュリティ各社からは、攻撃の試みやスキャンが観測されたとの報告も出ています。状況は短い間に変わりうるので、更新は早めに進めてください。
PHP 8.1以前は、PHP公式の修正版が出ません。レンタルサーバーやOSの提供元が修正を反映済みかを確認し、反映されていなければPHPのバージョンを上げてください。
WordPress本体の脆弱性（CVE-2026-87902、CVE-2026-63030）
WordPress本体では、7月と9月に、コード実行に至るおそれのある脆弱性の修正が公開されています。
9月22日に公開されたCVE-2026-87902は、サーバーの環境と、使っているテーマの条件がそろった場合に、ログインしていない攻撃者がサーバー上のPHPファイルを読み込ませ、コード実行に至るおそれがあるものです。WordPress公式は、critical（重大）と説明しています。修正版はWordPress 7.1.2です。古い系統（7.0.x や 6.9.x のように、最初の2つの数字が同じグループ）向けの修正版も出ていて、修正は4.7系まで提供されています。出典は、WordPress 7.1.2のリリース案内です。
7月17日に公開されたCVE-2026-63030は、REST API（外部のプログラムとWordPressがやり取りするための入口）の処理の不備から、コード実行に至るおそれがあるものです。6.9.5と7.0.2で修正され、同時にCVE-2026-60137も修正されました。CVE-2026-60137は6.8系にも影響し、6.8.6で修正されています。6.8より前の版は影響を受けないと、公式の記事は説明しています。また公式は、重大度が高いため、このときは自動更新を強制的に有効にしたと説明しています。出典は、WordPress 7.0.2のリリース案内です。
自社サイトは影響を受けるか：バージョンの確かめ方
WordPressのサイトは、PHPの上でWordPressが動く作りです。そのため、確かめるのは、PHPのバージョンとWordPressのバージョンの2つです。
WordPressの管理画面にログインし、「ツール」→「サイトヘルス」→「情報」を開きます。「WordPress」の欄にWordPressのバージョン、「サーバー」の欄にPHPのバージョンが出ています。管理画面に入れないときは、レンタルサーバーの管理画面でも、PHPのバージョンを見られます。
出てきた番号は、次の点と見比べます。
- PHPが、8.5.12／8.4.27／8.3.36／8.2.35 以降の版か。8.5、8.4、8.3、8.2のそれぞれで、この番号以降かを見ます。
- PHPが8.1以前なら、公式の修正版が出ません。提供元が修正を反映済みかを確認し、反映されていなければバージョンを上げます。
- WordPressの9月の件（CVE-2026-87902）は、お使いの系統の最新の修正版（7.1.2、または古い系統向けに出ている修正版）になっているかを見ます。
- WordPressの7月の件（CVE-2026-63030、CVE-2026-60137）は、6.9.5／7.0.2 以降が目安です。6.8系は6.8.6以降で、6.8より前の版は影響を受けないとされています。
- 系統ごとの版番号は、WordPress公式のお知らせで確認してください。7月の件では公式が自動更新を強制的に有効にしているので、自動更新が止まっていないか、いまの版と一緒に確認します。
最終的な判断は、公式の告知と、サーバーの提供元の案内で確かめてください。
まずやる対策
対策は、バックアップ、更新、整理の積み重ねです。順番は次のとおりです。
- バックアップを取る。 更新で表示が崩れたときに戻せるよう、ファイルとデータベースの両方を取ります。
- PHPを修正版にする（今回の件）。 同じ系統の中で、8.3.36 などの修正版に上げます。サーバー側で反映される場合もあるので、提供元の案内を確認します。
- WordPress本体・テーマ・プラグインを更新する。 本体は、前の節の基準以降にします。テーマとプラグインも、更新の通知が出ているものは最新にします。更新後は、主要なページと問い合わせフォームを見ます。
- PHPの系統を上げる。 php.netのサポート期限では、8.2は2026年12月31日でセキュリティサポートが終わります。8.3は2027年12月31日、8.4は2028年12月31日、8.5は2029年12月31日までです。WordPressの推奨環境は、PHP 8.3以上です。古いプラグインやテーマは新しいPHPで動かないことがあるので、切り替えたら表示とフォームを確認します。
- 使っていないプラグインとテーマを削除する。 停止しているだけでも、ファイルはサーバー上に残ります。使っていないものは削除して、更新が必要な部品を減らします。
WordPressは、こうした更新を続ければ、使い続けられます。分かれ目は、この作業を誰がいつやるかです。社内に担当者がいない、制作会社との契約が終わっている、更新で表示が崩れるのが気になって止まっている、という会社は、次の選択肢も候補になります。
根本的な選択肢としての静的サイト化
静的サイトとは、表示用のファイル（HTML、CSS、画像など）だけで動くサイトです。WordPressのように、アクセスのたびにPHPがデータベースから内容を組み立てる仕組みがありません。
WordPressは、PHP、データベース、管理画面、プラグインと、サーバー側で動く部品が多い作りです。部品が多いと、更新が必要な箇所も増えます。静的サイトにすると、その部品が減ります。攻撃を受ける入口が減り、更新が必要な部品が減り、管理する範囲が小さくなります。いわば、サイトの仕組みを単純なところまで戻す作り方です。
実例として、playvalue.jp 自体も静的サイトです。ページの表示にWordPressもデータベースも使っていません。ブラウザで右クリックして「ページのソースを表示」を選ぶと、表示用のファイルで作られていることを確かめられます。
ただし、静的サイトでも、問い合わせフォームをPHPで動かしていれば、PHPの更新は必要です。今回のPHPの件も、フォームを動かすPHPに当てはまります。フォームをPHPを使わない仕組みにすれば、サイトとしてPHPを更新する作業はなくなります。
静的化で変わること・失うもの
良い面だけを書くと判断を誤るので、失うものを先に書きます。
- 管理画面からの更新はできなくなります。文章や画像の差し替えは、ファイルを直す作業になります。この作業を代行してもらう形もあります。
- プラグインの機能は、そのままでは移せません。コメント、会員、カート、予約、サイト内検索も同じです。外部サービスで代わりになるかを確認し、難しい場合は、先にお伝えします。
- 検索順位は、維持を目指してURLと転送を設計しますが、変わらないとは言い切れません。
一方で、サイトの見た目と文章は、いまのものを移せます。サーバー側で更新する部品が減るので、バージョンの確認や更新の作業も減ります。
向き不向きの目安は、次のとおりです。ページ数が少ない。問い合わせフォーム以外に、サイト側で動かす機能がほとんどない。更新の頻度が低い。この3つに当てはまるサイトは、静的化に向いています。ネットショップ、会員、予約が中心のサイトや、記事を頻繁に更新するサイトは、WordPressのままが合う場合があります。
移行の進め方
静的化は、いまのサイトを残したまま、並行で新しいサイトを作り、確認してから切り替えます。流れは次のとおりです。
- 現状の棚卸し。 ページ数、プラグイン、フォーム、外部サービスとの連携を書き出します。
- 残す機能の判断。 そのままでは移せない機能について、外部サービスで代わりになるか、やめてよいかを決めます。問い合わせフォームを、PHPを使わない仕組みにするかも、ここで決めます。
- URLの設計。 主要なURLは維持し、変わるURLは新しいURLへ転送（301）する設定を用意します。
- 並行して作る。 文章と画像を移し、いまのデザインを再現します。作業中も、いまのサイトはそのまま公開されています。
- 確認。 表示とフォームの動きを、公開前に確かめます。
- 切り替え。 新しいサイトを公開先に設置し、ドメインを切り替えます。
- 切り替え後の確認と保管。 転送の動きを確かめ、旧サイトのバックアップを保管します。
Play Valueの脱WordPress（静的サイトへの作り変え）
Play Valueは、福岡市の販売支援・集客支援の会社です。WordPressで作られた会社のサイトを、静的サイトに作り変えるメニューを、期間限定でお引き受けします。2026年11月30日までにお問い合わせフォームからご連絡いただいた分が対象です。全国へ出張でき、オンラインの打ち合わせもできます。
料金は、10ページ程度までのサイトの場合、2026年11月30日までのご連絡分が60,000円〜（税別）、12月1日以降のご連絡分が100,000円〜（税別）です。ページ数や機能で変わるので、事前に見積りを出します。作り変えの料金に含む内容は、次のとおりです。
- いまの文章と画像の移し替え
- いまのデザインの再現
- 主要なURLの維持と、変わるURLの転送（301）設定
- 問い合わせフォーム1つ
- 公開先への設置とドメインの切り替え
- 旧サイトのバックアップ
問い合わせフォームは、PHPを使わない仕組みで作るのを基本にします。この場合、サイトとしてPHPを更新する作業は不要です。
次のものは、別見積りです。
- 11ページ以上の場合（ページ数に応じてお見積り）
- デザインの作り直し
- 新しいページの追加
- ネットショップ・会員・予約などサイト側で処理する機能
- 多言語
- 画像の加工
- AIO対策
- 月額プラン（記事の追加・流入レポート）
- 公開に使うサーバー・ドメインの費用（実費）
- 福岡市・近郊以外への出張の交通費（実費）
AIO対策（AIの検索・回答で内容が読み取られやすくなるよう、サイトの内容と構造を整える作業）は、単発10,000円〜（税別）です。内容に応じて別途お見積りします。月額プランは月30,000円〜（税別）で、記事の追加（月5本まで）と毎月の流入推移レポートをまとめています。静的サイトには管理画面がないので、文章や画像の差し替えなど更新作業の代行も、このプランの中でご相談いただけます。作り変えだけでもご依頼いただけます。AIO対策と月額プランは、あとから追加できます。
内容と料金は、脱WordPress（静的サイトへの作り変え）のページにまとめています。ご相談は、お問い合わせフォームから受け付けています。
この記事は2026年10月23日時点の情報です。脆弱性の状況や修正版は更新されることがあるので、最新の情報は、php.net、wordpress.org、カナダ・サイバーセキュリティセンターの公式ページで確認してください。
よくある質問
この記事についての質問
フォームは、静的サイトでも設置できます。ただし、フォームをPHPで動かしていれば、PHPの更新は必要です。フォームをPHPを使わない仕組みにすれば、サイトとしてPHPを更新する作業はなくなります。Play Valueの作り変えでは、PHPを使わない仕組みで作るのを基本にします。現状を伺って決めます。
はい。WordPress本体、テーマ、プラグイン、PHPの更新を続けられる体制があれば、WordPressのままで使い続けられます。迷うのは、更新を担当する人がいない、更新で表示が崩れて止まっている、といった場合です。その場合に、静的化が候補になります。
下がる可能性はあります。維持を目指して、主要なURLを残し、変わるURLは転送（301）する設計にしますが、順位の結果は約束できません。切り替え後は、表示と転送の動きを確かめます。