WordPressに6万件超の攻撃試行。PHPの重大脆弱性も発覚、企業サイトが今確認すべきこと

企業のホームページやECサイトなどで広く利用されている「WordPress」と、その動作を支えるプログラミング言語「PHP」。

2026年10月、これらのシステムに相次いで深刻なセキュリティ上の問題が発見されました。

10月21日にはPHPの重大な脆弱性「PHP2Shell」に対する修正版が公開され、10月28日にはWordPress本体のセキュリティアップデート「WordPress 7.1.4」が公開されています。

さらに、WordPressの脆弱性については、セキュリティ企業Wordfenceが24時間で約6万3,000件の攻撃試行を遮断したと報告しました。

いずれも企業のWebサイト運営に関わる重要なニュースです。

今回は、WordPressとPHPそれぞれの問題をわかりやすく解説するとともに、Webサイト運営者が今確認しておきたい対策を紹介します。

WordPress 7.1.4が公開。更新処理中の脆弱性を修正

WordPressの開発チームは、2026年10月28日にセキュリティアップデート「WordPress 7.1.4」を公開しました。

今回の更新には複数のセキュリティ修正が含まれており、その中でも注目されているのが、WordPress本体の更新処理に関係する脆弱性です。

この問題は、特定の条件下で攻撃者が認証なしにサーバー上で不正なコードを実行できる可能性があるというものです。

ただし、更新前のWordPressサイトが、常に同じ条件で攻撃を受けるわけではありません。

今回の脆弱性は、WordPress本体の更新処理中に生じる特定の状態を悪用するもので、攻撃が成立するには条件があります。

WordPress公式はセキュリティリリースとして更新を推奨しており、対象となる旧バージョンを利用している場合は早めの対応が必要です。

24時間で約6万3,000件の攻撃試行を確認

セキュリティ企業Wordfenceの観測データでは、今回の脆弱性を狙った攻撃試行が急増しています。

10月30日頃に報告されたデータでは、約24時間で62,969件の攻撃試行が遮断されたとされています。

今回の問題で注意したいのは、脆弱性が公表され、修正版が提供された後、短期間で攻撃が試みられていることです。

ただし、約6万3,000件という数字は攻撃を試みた通信の件数であり、約6万3,000サイトが侵害されたという意味ではありません。

攻撃の成功状況については別途確認が必要です。

このような事例からも、WordPressのセキュリティアップデートを適切に適用する体制の重要性がわかります。

PHPにも重大な脆弱性「PHP2Shell」が発覚

今回のWordPress本体の脆弱性とは別に、10月21日にはPHPの重大な脆弱性「PHP2Shell」に対する修正版も公開されています。

PHPは、WordPressをはじめとする多くのWebサイトやWebシステムで利用されているプログラミング言語です。

PHP2Shellと呼ばれる脆弱性は、次の2件です。

• CVE-2026-109618
• CVE-2026-109619

いずれも深刻度を示すCVSS v4.0で9.2と評価されています。

特定の条件下で悪用された場合、攻撃者が認証なしにサーバー上で不正なプログラムを実行できる可能性があります。

米国のサイバーセキュリティ機関CISAは、10月26日、これら2件を実際の悪用が確認された脆弱性の一覧「KEVカタログ」に追加しました。

PHPの開発チームは、以下の修正版を公開しています。

なお、PHPの修正版は利用環境やサーバー会社によって提供方法が異なります。

OSやサーバー会社が独自にセキュリティ修正を適用している場合もあるため、単純にバージョン番号だけで安全性を判断できないケースもあります。

WordPressを最新版にすれば、PHPの問題も解決する？

ここは特に注意していただきたいポイントです。

WordPress本体を最新版に更新しても、サーバーで利用しているPHPが自動的に更新されるわけではありません。

WordPressとPHPは、役割が異なる別々のソフトウェアです。

WordPressは、ホームページの記事や画像、ページなどを管理するCMS（コンテンツ管理システム）です。

一方、PHPはWordPressを動かすためのプログラミング言語であり、通常はサーバー側で管理されています。

そのため、Webサイトを安全に運用するには、少なくとも次の項目をそれぞれ確認する必要があります。

• WordPress本体のバージョン
• WordPressのテーマとプラグインの更新状況
• PHPのバージョンとセキュリティ修正の適用状況
• サーバー側のセキュリティ設定
• バックアップと復旧体制

WordPress本体だけでなく、Webサイトを動かしている環境全体を管理することが重要です。

企業のWebサイト運営者が確認したい5つの対策

1. WordPress本体の更新状況を確認する

WordPressの管理画面から、現在のバージョンと更新状況を確認しましょう。

今回のセキュリティリリースはWordPress 7.1.4ですが、旧系列にも修正が提供されています。

必ずしもすべてのサイトで7.1.4への更新が必要というわけではなく、利用している系列に適切なセキュリティ修正が適用されていることが重要です。

2. PHPのバージョンと修正状況を確認する

PHPのバージョンは、レンタルサーバーの管理画面などで確認できます。

PHP2Shellへの対策が適用されているか、サーバー会社の案内を確認しましょう。

古いPHPを利用している場合は、セキュリティ対策だけでなく、今後の保守や互換性の面からも更新を検討する必要があります。

3. バックアップを確認する

万が一のトラブルに備え、Webサイトのファイルとデータベースのバックアップを確認しましょう。

バックアップは取得するだけでなく、必要なときに復旧できることが重要です。

更新作業によって不具合が起きた場合に備え、復旧手順も整理しておくと安心です。

4. 不審なアクセスや変更がないか確認する

脆弱性の悪用が疑われる場合は、アクセスログやファイルの変更履歴、管理者アカウントの追加などを確認します。

サイトが通常どおり表示されていても、必ずしも安全であるとは限りません。

ただし、ログの調査や侵害の判断には専門的な知識が必要な場合があります。

5. 保守管理の体制を見直す

Webサイトを制作した後、更新やセキュリティ管理の担当者が明確になっていない企業もあります。

次の点を整理しておくことをおすすめします。

• WordPressやPHPの更新を誰が担当するのか
• セキュリティ情報を誰が確認するのか
• 緊急時に誰へ連絡するのか
• バックアップや復旧作業は誰が行うのか

Webサイトの安全性を維持するためには、技術的な対策だけでなく、継続的な運用体制も重要です。

Webサイトの保守管理を改めて考える機会に

今回のWordPressとPHPの脆弱性に関するニュースは、Webサイトの保守管理の重要性を改めて考える機会だと感じています。

WordPressは、企業のホームページやブログなどで広く利用されている便利なCMSです。

一方で、Webサイトは公開した時点で完成するものではありません。

WordPress本体、テーマ、プラグイン、PHP、サーバーなど、複数のソフトウェアが組み合わさって動作しており、それぞれに継続的な管理が必要です。

特に中小企業では、Webサイトの担当者が不在だったり、制作後の管理を外部に任せたまま、更新状況を把握できていなかったりするケースもあります。

もちろん、今回のような脆弱性が見つかったからといって、WordPressそのものが危険なシステムというわけではありません。

重要なのは、利用しているソフトウェアの状態を把握し、必要な更新を適切なタイミングで実施することです。

また、最近ではAIを活用したサイバー攻撃の高速化も指摘されています。

今後は、重大な脆弱性が公表されてから対応するまでの時間が、これまで以上に重要になっていくと考えられます。

Webサイトは「制作すること」だけでなく、「安全に使い続けられること」も大切です。

当社では、Webサイトの制作やECサイトの構築だけでなく、公開後の運用・保守管理も重要な業務だと考えています。

今回のニュースをきっかけに、自社のWebサイトの更新状況や保守体制を一度確認してみてはいかがでしょうか。

参考情報

• WordPress公式：WordPress 7.1.4（2026年10月28日）
• Wordfence：WordPress 7.1.4のセキュリティ修正と攻撃状況
• SecurityWeek：Fresh WordPress Vulnerability in Attackers' Crosshairs（2026年10月30日）
• IPA：PHPの脆弱性対策について（PHP2Shell）
• PHP公式：セキュリティリリース情報
• オランダ国家サイバーセキュリティセンター：PHP2Shellに関する情報

※本記事は2026年11月1日時点の公表情報をもとに作成しています。ソフトウェアの更新方法や影響範囲は利用環境によって異なります。

投稿日：2026年11月1日