WordPress.comはPHP脆弱性の影響を受ける？（2026年10月）｜サイト運営者が確認すること

2026年10月22日
セキュリティ対策, ワードプレス
PHP, WordPress, WordPress.com, セキュリティ, 脆弱性
13view

セキュリティ対策

WordPress.comのPHP脆弱性への対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「PHP2Shell」）について、WordPress.comを運営するAutomattic（オートマティック）社が、自社のサーバーで動くサイトをすでに保護したと発表した件のことです。同社は公式ブログで「WordPress.comでホストしているサイトなら、この脆弱性からサイトを守るためにあなたがすることは何もありません」と案内しています。

速報（2026年10月22日16時00分時点・当社調べ）

①PHPの脆弱性への対応	完了（WordPress.comでホストしているサイトは「すでに保護されている」と公式発表。利用者の作業はなし）
②管理画面・ログイン	入れる（停止やメンテナンスの告知はなし。運用状況ページでWordPress.comとWordPress.com APIは「正常」表示。ログインはしていません）
③サイト・サービスの表示	通常どおり（10月22日13時08分から運用状況ページでWordPress.com、API、Businessが「正常」表示。16時00分の確認でも変わらず）
④確認した公式ページ	WordPress.com Blog、Automattic社の発表、Automattic Status

状況は変わることがあります。最新の情報は公式ページでご確認ください。

この記事は、2026年10月22日16時00分時点で公表されている公式情報をもとにしています。WordPress.comでサイトを運営している方に向けて、公式に分かっていること、名前がよく似たWordPress.org（自分で借りたサーバーに入れるWordPress）との違い、念のため管理画面で確認しておきたいことを順に整理します。PHPの脆弱性そのものの説明は、PHPの重大な脆弱性の解説記事にまとめています。

1 先に結論｜WordPress.comの利用者が知っておきたいこと
2 WordPress.comの公式発表（PHPの件）
3 WordPress.comとWordPress.orgの違い（ここがいちばん大事）
4 WordPress.comはPHPを使っているのか・利用者の作業は必要か
5 念のため管理画面で確認すること
6 お客様の情報・カード情報について
7 お客様から聞かれたときの答え方
- 7.1 不審な連絡への注意も添える
8 同じ日のエラーはPHPの件と分けて考える
- 8.1 10月21日23時29分〜38分のエラー
- 8.2 このエラーで利用者がすること
9 サポートに問い合わせる目安
10 よくある失敗と注意点
- 10.1 WordPress.orgの記事の手順をそのまま試してしまう
- 10.2 あわててバックアップから戻してしまう
11 よくある質問
12 参考にした公式情報

先に結論｜WordPress.comの利用者が知っておきたいこと

ノートパソコンでブログの管理画面を開いて確認している人 — Photo by Sincerely Media on Unsplash

要点は、「WordPress.comの上で動いているサイトなら、PHPの更新は運営会社の仕事で、利用者がPHPを触る必要はない。ただし、アカウントの守りは利用者の担当」ということです。表にまとめると次のとおりです。

項目	公式に分かっていること（10月22日16時00分時点）
サイトは守られているか	「すでに保護されている」。WordPress.com、WordPress VIP、WP Cloud、Pressable、Tumblrで動くサイトが対象
利用者がやること	この脆弱性については「何もない」
PHPの更新はだれがするか	運営会社。「PHPは私たちがサーバー側で入れ、管理し、修正している」
サービスの停止	PHPの件での停止やメンテナンスの告知はなし。運用状況ページでは、10月22日13時08分にWordPress.comなどの表示が「正常（Operational）」になっている
お客様の情報への影響	発表では触れられていない（影響があったという発表もない）
日本語のお知らせ	WordPress.com日本語ブログには、この時点で関連する記事は見当たらない

国内のサーバー会社やネットショップのサービスがどう動いたかは、10月21日のPHP脆弱性で起きたことのまとめ記事で一覧にしています。

WordPress.comの公式発表（PHPの件）

PHPの件について、WordPress.com側の発表は3か所に出ています。いずれも英語ですが、内容は同じ方向で、「サイトは守られている。利用者の作業はいらない」というものです。

Automattic社の発表「Your Sites Are Protected Against the PHP2Shell Vulnerabilities」

運営会社のAutomattic社は、10月21日（米国時間）に会社のブログで発表しました。WordPress.com、WordPress VIP、WP Cloud、Pressable、Tumblrでホストしているサイトはすでに保護されていること、PHPのセキュリティチームと密に連携して、できるだけ早く全サイトを守れるようにしたこと、利用者がすることはないことが書かれています。

あわせて、自分でPHPを管理している人に向けては、修正版（PHP 8.5.12・8.4.27・8.3.36・8.2.35）への更新を求めています。WordPressやテーマ、プラグインを更新するだけでは守れないこと、PHP 8.1以前には公式の修正が出ないこと、PHP 8.2も2026年12月31日でサポートが終わるため8.3以上が望ましいことにも触れています。

WordPress.comブログの案内

利用者向けには、WordPress.comの公式ブログに「Your WordPress.com Site is Protected Against the Recent Critical PHP Vulnerabilities」という記事が出ています（日本時間では10月22日5時ごろの公開）。ここでは、WordPress.comではPHPを運営会社がサーバー側で入れて管理・修正しており、今回の公開に向けて事前に準備していたため、すべてのサイトが対象になっていると説明しています。自分でサーバーを運用している人には「すぐに更新を」と呼びかけています。

運用状況ページ（Automattic Status）の表示

サービスの稼働状況を知らせるAutomattic Statusには、日本時間10月21日23時から「PHP Critical Security Updates」という項目が出ました。WordPress.com、WordPress.com API、WordPress.com Businessなどが「情報」の表示になり、状態は「観察中」でした。説明文は「PHPのセキュリティ更新は把握しており、サイトは保護されている」というもので、停止や障害を知らせる内容ではありません。その後、日本時間10月22日13時08分に、WordPress.com、WordPress.com API、WordPress.com Businessの表示は「正常（Operational）」に戻っています。

日時（日本時間）	出来事	出典
10月21日 23時	運用状況ページに「PHP Critical Security Updates」を掲示（サイトは保護済み）	Automattic Status
10月21日 23時ごろ	PHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開	PHP公式
10月21日 23時29分〜38分	配信の仕組みの定期更新で一部サイトにエラー（PHPの件とは無関係と公式が説明・後述）	Automattic Status
10月21日（米国時間）	Automattic社が「サイトは保護済み」と発表	Automattic社ブログ
10月22日 5時ごろ	WordPress.comブログで利用者向けに案内	WordPress.comブログ

WordPress.comとWordPress.orgの違い（ここがいちばん大事）

サーバーが並ぶデータセンターの通路 — Photo by Elimende Inagella on Unsplash

今回の発表で守られているのは、WordPress.comのサーバーで動いているサイトだけです。名前が似ているWordPress.orgのWordPressを、自分で借りたレンタルサーバーに入れて使っている場合は話がまったく別になります。

くらべる点	WordPress.com	WordPress.org（自分のサーバーに入れる）
サーバー	WordPress.comのサーバーに込み	エックスサーバーなどを自分で契約する
PHP本体の更新	運営会社が行う	サーバー会社（または自分）が行う
今回の脆弱性	運営会社が「保護済み」と発表	サーバー会社の対応と、自分が選んでいるPHPのバージョンしだい
利用者の作業	PHPの件ではなし	PHPのバージョン確認、必要なら切り替え

自分のサイトがどちらか見分ける方法

毎月の請求がWordPress.comから来ていて、サーバー会社と別に契約していなければ、WordPress.comのサイトです。レンタルサーバー会社に料金を払っているなら、WordPress.orgの形です。分からない場合は、WordPress.comが用意しているSite Profiler（サイトのURLを入れると、どこのサーバーで動いているかを調べられる無料の道具）で確かめられます。

Jetpackをつないでいるだけのサイトは対象外

注意したいのが、Jetpack（WordPress.comのアカウントでつなぐ、Automattic社のプラグイン）を使っているサイトです。WordPress.comにログインしてアクセス数などを見ていても、サイト本体が他社のレンタルサーバーで動いているなら、今回の「保護済み」の対象には入りません。発表の対象は「Automatticのサーバーでホストしているサイト」と書かれているためです。この場合は、契約しているサーバー会社のお知らせを確認してください。

自分のサーバーでWordPressを使っている場合

WordPress.orgの形でサイトを運営している場合は、サーバーの管理画面でPHPのバージョンを確認し、8.1以前を選んでいれば8.3以上への切り替えを検討します。今回の弱点はPHPそのものにあるため、WordPressやプラグインを更新しても直りません。具体的な手順はPHPの重大な脆弱性の解説記事に、管理画面が一時止まったサーバー会社の例はエックスサーバーの管理画面停止の記事にまとめています。

WordPress.comはPHPを使っているのか・利用者の作業は必要か

WordPressはPHPで動くソフトなので、WordPress.comのサイトもPHPの上で動いています。ただ、PHPを入れて、管理して、修正するのは運営会社です。プランによって、利用者側で見える範囲が少し違います。

無料・Personal・Premiumプランの場合

PHPのバージョンを選ぶ設定は、プラグインを入れられるプラン向けの機能です。これらのプランでは、基本的に利用者がPHPを選ぶ場面はありません。PHPに関しては運営会社の対応にまかせる形で、今回も作業は不要です。

Business・Commerceプランの場合

プラグインを入れられるBusiness・Commerceプランでは、管理画面でPHPのバージョンを選べます。WordPress.comのサーバー環境のガイド（10月20日に内容確認済みと表示）では、選べるのはPHP 8.3と8.4です。サポートが終わった古いPHPには戻せない仕組みなので、8.1以前を選んだままになっていることはありません。

なお、選べるのは「8.3」「8.4」という大きな区切りまでで、8.3.36のような細かい番号は利用者側で選ぶものではありません。修正を当てるのは運営会社の仕事です。

セキュリティ系のプラグインを急いで入れなくてよい

不安になって、セキュリティ対策のプラグインを入れたくなるかもしれません。WordPress.comのブログでは「別のセキュリティプラグインを入れる必要はなく、一部は既にある保護の働きをじゃまする」と案内しています。WordPress.comには、ファイアウォール（不審なアクセスを入口で止める仕組み）や毎日のマルウェア（悪意あるプログラム）検査が最初から入っています。

念のため管理画面で確認すること

チェックリストに印をつけながら作業する手元 — Photo by engin akyurt on Unsplash

PHPの件で必要な作業はありませんが、大きなニュースが出たときは、アカウントまわりを見直すよい機会です。WordPress.comのブログも、強いパスワード、二段階認証、アカウントのメールアドレスを最新にすること、プラグインと利用者の権限の見直しを「利用者の担当」として挙げています。

メニュー名は英語のヘルプに書かれている名前です。日本語表示にしている場合は、訳された名前で出ることがあります。日本語のヘルプには2023年の古い説明が残っているページもあるため、迷ったら英語のヘルプを見るのが確実です。

確認すること	場所（英語のヘルプでの名前）	対象のプラン
PHPのバージョン	Hosting Dashboard → サイト名 → Settings → Server → PHP	Business・Commerce
二段階認証	My WordPress.com account → Security → Two-Step Authentication	すべて
つないでいる外部サービス	My WordPress.com account → Security → Connected applications	すべて
サイトの利用者と権限	Users → All Users	すべて
操作の記録	Jetpack → Activity Log	すべて（無料プランは直近20件まで）
マルウェア検査の結果	Jetpack → Scan	Business・Commerce
バックアップ	Jetpack → Backup	Business・Commerce

ステップ1｜PHPのバージョンを見ておく（Business・Commerce）

サーバー設定のガイドのとおり、Hosting Dashboardでサイトを選び、左の「Settings」から「Server」の欄にある「PHP」を開くと、いまのバージョンが分かります。8.3か8.4になっていれば問題ありません。ガイドでも「ふつうはPHPを切り替える必要はなく、必要なときはWordPress.comが更新する」とされているので、今回のために切り替える必要はありません。

ステップ2｜二段階認証を有効にする

二段階認証は、パスワードに加えて、スマホに届く番号などで本人かを確かめる仕組みです。二段階認証のガイドによると、右上の名前から「My WordPress.com account」を開き、「Security」→「Two-Step Authentication」で、認証アプリかSMSを選んで設定します。設定の最後に出るバックアップコード（スマホをなくしたときに使う予備の番号）は、パソコンの中ではなく、紙や鍵つきの場所に保管してください。

ステップ3｜スタッフや制作会社のアカウントを整理する

「Users」→「All Users」で、サイトに招待している人の一覧が見られます。辞めたスタッフや、作業が終わった外注先が残っていれば外します。セキュリティのガイドでは、管理者（Administrator）はサイトを削除までできる強い権限なので、信頼できる人だけに与え、不要になったら外すよう求めています。記事を書くだけの人には、投稿者や寄稿者など弱い権限で十分です。

ステップ4｜つないでいる外部サービスを見直す

SNSの自動投稿やスマホアプリなど、WordPress.comのアカウントと連携しているサービスは、「Security」→「Connected applications」に一覧が出ます。外部サービス連携のガイドのとおり、各項目の「︙」から詳細を見られ、使っていないものは「Disconnect」で切れます。外部サービスにWordPress.comのパスワードそのものを教えないことも、ガイドで強く注意されています。

ステップ5｜操作の記録と検査の結果を見る

「Jetpack」→「Activity Log」（アクティビティログ）には、だれがいつ何をしたかが新しい順に並びます。見覚えのないプラグインの追加や、知らない人のログインがないかを見ておくと安心です。Business・Commerceプランなら「Jetpack」→「Scan」で、毎日の自動検査の結果と過去の履歴も確認できます。検査のガイドによると、見つかった問題は運営会社のセキュリティチームが直す仕組みです。

ステップ6｜アカウントのメールアドレスが届くか確かめる

WordPress.comは、マルウェアを見つけて取り除いたときなどにメールで知らせます。登録しているメールアドレスが今も受け取れるもの（退職者のアドレスなどになっていない）かを確認してください。

お客様の情報・カード情報について

WordPress.comとAutomattic社の発表は、「サイトは保護されている」という内容で、お客様の個人情報やカード情報について影響があったとも、なかったとも書かれていません。WordPress.comで情報が漏れたという発表も、10月22日16時00分時点では見当たりません。

CommerceプランでWooCommerce（WordPressでネットショップを作る仕組み）を使っている場合も、PHPの件で店側に作業を求める案内は出ていません。お客様に説明するときは、「影響はありません」と言い切るより、運営会社の発表とその時点をそのまま伝えるほうが、あとで内容が変わったときにも困りません。

お客様から聞かれたときの答え方

パソコンでお客様からのメールに返信している担当者 — Photo by Austin Distel on Unsplash

ニュースを見たお客様や取引先から「御社のサイトは大丈夫ですか」と聞かれることがあるかもしれません。答えるときは、「どこの仕組みで動いているか」「運営会社が何と言っているか」「いつ時点の話か」の3点をそろえると伝わりやすくなります。

当社のサイトはWordPress.comというサービスで運営しています。運営会社からは、10月21日に公開されたPHPの脆弱性について、サイトはすでに保護されているとの発表が出ています。新しい情報があれば、あらためてお知らせします。

不審な連絡への注意も添える

こうしたニュースのあとは、運営会社を装った偽のメールが出回りやすくなります。WordPress.comのガイドでは、公式のメールは必ず「@wordpress.com」で終わり、「@something.wordpress.com」のような形からは来ないこと、ログイン情報を聞くことはないことが明記されています。「ログインしないとサイトが止まる」といったメールが届いても、リンクは押さずに、自分でWordPress.comを開いて確認してください。

同じ日のエラーはPHPの件と分けて考える

10月21日の夜には、WordPress.comで短い時間のエラーも起きています。時間が近いので混ざりやすいのですが、公式の説明では別の話です。

10月21日23時29分〜38分のエラー

Automattic Statusによると、日本時間10月21日23時29分ごろから23時38分ごろまで、配信の仕組み（エッジ）の定期的な更新が原因で、多くのサイトやサービスでHTTP 500エラー（サーバー側の不具合で画面が出ない状態）が起きました。WordPress.com、WordPress.com API、Jetpack APIなどが対象で、すでに解決しています。運営会社は原因を特定して再発を防いだとし、「今回のPHPのセキュリティ更新とは無関係」と明記しています。

このエラーで利用者がすること

この時間帯に「サイトが見られなかった」「投稿に失敗した」という場合は、いまサイトが正常に表示されているか、その時間に保存しようとした記事や設定が残っているかを確認します。消えていれば、もう一度保存すれば大丈夫です。不正アクセスではないので、パスワードを変える必要はありません。

サポートに問い合わせる目安

PHPの件そのものは問い合わせなくて大丈夫です。次のようなときに連絡すると話が早く進みます。

こんなとき	伝えること
Activity Logに心当たりのない操作やログインがあった	日時、利用者名、内容。パスワードは先に変更
Scanで見つかった問題が解決されないまま残っている	表示された内容、気づいた日時
23時台のエラーのあと、サイトの表示がおかしいまま	URL、症状、試したこと
二段階認証のスマホをなくしてログインできない	バックアップコードの有無
WordPress.comを名乗る不審なメールが届いた	送信元アドレス、件名（リンクは押さない）

サポートのガイドによると、ダッシュボード右上の「？」からHelp Center（ヘルプの窓口）を開き、「Need help? Get in touch」から連絡できます。有料プランはサポート担当者と直接やり取りでき、無料プランはAIのサポートアシスタントとガイド、コミュニティフォーラムが中心です。乗っ取りが心配なときは、サイトが乗っ取られたと思ったときのガイドの順番（パスワード変更→二段階認証→SFTP/SSHのパスワード変更→記録の確認）で進めます。

よくある失敗と注意点

WordPress.orgの記事の手順をそのまま試してしまう

ニュースでは「PHPを8.2.35以上に更新しましょう」と書かれていることが多いのですが、これは自分でサーバーを管理している人向けの話です。WordPress.comでは細かい番号を選ぶ画面はなく、更新は運営会社が行います。手順が見つからなくても、困る必要はありません。

あわててバックアップから戻してしまう

念のためと思って、過去のバックアップに戻すのはおすすめしません。復元のガイドでは、戻した時点より後の投稿や設定は上書きされること、定期購入の仕組み（WooCommerce Subscriptionsなど）を使うお店では、データベースを戻すとお客様に二重で請求されることがあると注意しています。被害の兆しがないのに戻す理由はありません。