結論：使っている系列の修正版以上へ、今すぐ更新してください。PHPは 8.5系→8.5.12／8.4系→8.4.27／8.3系→8.3.36／8.2系→8.2.35、Node.jsは 26系→26.12.1／24系→24.22.1／22系→22.23.4 です。PHPの脆弱性は、ログイン不要の遠隔攻撃で、サーバ上でプログラムを実行されるおそれがある最も重い区分（Critical）です。PHP 8.1以前と、サポートが終わったNode.jsには、開発元の正式な修正版が出ません。
どれくらい危ないのか
| PHP | Node.js | |
|---|---|---|
| 公開日 | 2026年10月21日付（IPAは日本時間23時の公開予定と事前告知） | 2026年10月21日付 |
| 危険度 | Critical（最も重い）2件・CVSS 9.2／10 | High（重い）4件を含む計10件 |
| 起こりうること | ログイン不要の遠隔攻撃で、サーバ上でプログラムを実行されるおそれ（PHP-FPMなどWebで動くPHPはすべて対象。攻撃の成立はApacheのmod_phpで実証済み） | 細工された圧縮データで遠隔からコードを実行されうる問題、IPアドレスの書き方などでTLS証明書による通信相手の確認をすり抜けられる問題など |
| 修正版（使っている系列の版以上へ） | 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 | 26.12.1 / 24.22.1 / 22.23.4 |
| 開発元の正式な修正版が出ない版 | 8.1以前（サーバ会社が独自に対応している場合あり） | サポート終了版（20系・25系など） |
PHPの開発元は発表の題名で「update now（今すぐ更新を）」と呼びかけ、特にApacheのmod_phpでは、アプリのコードが動く前に攻撃が成立しうるとしています。情報処理推進機構（IPA）は10月21日に公開前の「事前準備のお願い」を、10月22日に注意喚起を出しました。IPAの事前告知の時点で悪用は確認されていませんが、PHPの脆弱性は2024年7月にも悪用された例があり、IPAは今回も悪用されるおそれがあるとしています。
自分は対象か（30秒チェック）
- WordPressでホームページを運営している → PHPを使っています。対象の可能性が高いです
- レンタルサーバ（ロリポップ、エックスサーバー、さくら等）でサイトを公開している → 多くはPHPが動いています。管理画面でバージョンを確認してください
- Node.jsで開発・学習している、Node.jsで動くアプリを公開している → Node.jsの更新が必要です
- サイトを見るだけ → 自分でPHPやNode.jsを更新する必要は通常ありません。使っているアプリや機器は、提供元の更新案内に従ってください。また同じ時期にWindowsの重要な更新（10月14日、悪用確認済みの脆弱性を含む）が出ているので、Windows Updateは済ませてください
今すぐやること
ホームページを運営している方（PHP）
- WordPressの管理画面で「ツール → サイトヘルス → 情報 → サーバー」を開き、PHPのバージョンを見る（レンタルサーバの管理画面でも確認できます）
- 使っている系列の修正版（8.5系→8.5.12、8.4系→8.4.27、8.3系→8.3.36、8.2系→8.2.35）より古ければ、サーバ会社のお知らせを確認し、管理画面で更新するか、サーバ会社に問い合わせる
- PHP 8.1以前は開発元のサポートが終了しています。サポート中の版への移行が必要です（8.2も2026年12月31日でサポート終了予定のため、移るなら8.3以降が安心です）。古いプラグインやテーマが動かなくなることがあるため、先にバックアップを取ってから切り替えてください
WordPress公式は、今回のPHPの脆弱性についてWordPress本体の更新は不要で予定もないと案内しています。今回の対策はサーバ側のPHPの更新です。
Node.jsを使っている方
- ターミナルで
node -vを実行する - 26系なら26.12.1、24系なら24.22.1、22系なら22.23.4 より古ければ、公式サイトやバージョン管理ツール（nvm等）で更新する
- サポートが終わった系列（20系・25系など）を使っている場合は、サポート中の系列へ移る
- 公開しているサーバやDockerイメージも、手元と同じように更新して作り直す
すぐに更新できないとき
IPAが示している対策は、修正版への更新です。自分で更新できない場合は、サーバ会社や制作会社に「PHPを今の系列の修正版（例：8.3系なら8.3.36）以上にしたい」と具体的なバージョンを伝えて相談してください。PHP 8.1以前の場合は、サーバ会社が独自に修正を入れているかどうかも確認してください。サーバ会社によってはWAF（外部からの攻撃を遮る仕組み）で一時的に防いでいる場合がありますが、WordPress公式もそれだけで済ませず更新するよう呼びかけています。
なぜ「すぐ更新」が大事なのか、「脆弱性」「CVE」「CVSS」とは何かは、後日あらためて解説記事で詳しくまとめます。
よくある質問
WordPress本体も更新が必要ですか？
WordPress公式は、今回のPHPの脆弱性についてWordPress本体の更新は不要で、予定もないと案内しています。必要なのはサーバ側のPHPの更新です。
レンタルサーバなら自動で更新されますか？
サーバ会社や契約内容によって異なります。管理画面で実際のバージョンを確認し、修正版より古ければサーバ会社のお知らせを確認するか問い合わせてください。
サイトを見るだけでも何か必要ですか？
サイトを見るだけなら、自分でPHPやNode.jsを更新する必要は通常ありません。使っているアプリや機器は提供元の更新案内に従ってください。また10月14日にWindowsの重要な更新が出ているため、Windows Updateとスマホの更新は済ませておくと安心です。
参考資料
- The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）php.net
- IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）ipa.go.jp
- Node.js「October 2026 Security Releases」nodejs.org
- WordPress.org「Critical PHP security release」（2026年10月21日）wordpress.org
- IPA「Microsoft 製品の脆弱性対策について(2026年10月)」（2026年10月14日）ipa.go.jp
学習塾ソートアップの塾長は元ソフトウェアエンジニアです。ITパスポートやプログラミングの学習相談は無料体験授業でも受け付けています。