【WordPress】PHPの脆弱性のあとに見直すセキュリティ設定｜エックスサーバー編
2026年10月、PHPに重大な脆弱性（ぜいじゃくせい：プログラムの弱点）が2件見つかり、国家サイバー統括室や首相がXで対応を呼びかけるなど、大きく報じられました。WordPressはPHPで動いているため、自社のホームページへの影響が気になった会社もあるのではないでしょうか。
この記事では、WordPressのサイトをエックスサーバーで運用している場合に、今回の件で確かめることと、この機会に見直しておきたい設定を、サーバーとWordPressに分けてまとめます。社内のIDとパスワードの運用は、続きの記事で扱います。
すべてを自社で設定する必要はありません。「どうなっていれば適切か」を知っておき、できていない項目や、わからない項目は、制作会社や保守の担当者に相談します。
見直しの要点：PHPは8.3以上にする。エックスサーバーのWAFとWordPressセキュリティ設定を有効にする。WordPressとプラグインを最新にし、使っていないものは削除する。バックアップは複数の場所に置く。
この記事でわかること
- 今回のPHPの脆弱性で、確かめること
- エックスサーバーで見直す設定と、適切な状態
- WordPressで見直す設定と、制作会社に任せたほうがよい項目
PHPの脆弱性のニュースを見ました。うちのホームページも、何かしないといけませんか？
エックスサーバーのレンタルサーバーなら、今回の脆弱性の修正は、サーバー会社が済ませています。ただ、古いPHPのままだったり、使っていないプラグインが残っていたりすると、別の弱点になります。この機会に、設定をひととおり見直しておきます。
前提
- 対象：WordPressのサイトを、エックスサーバーのレンタルサーバーで運用している場合。2026年11月時点の情報にもとづきます
- 必要な権限：エックスサーバーのサーバーパネルと、WordPressの管理者アカウント
- 所要時間の目安：確認だけなら30分ほど。設定の変更は、内容によります
- 先に用意するもの：サイトのバックアップ（設定を変える前に取ります）
VPSや専用サーバーで運用している場合は、PHPの更新も、サーバーを運用している側（自社や開発会社）の作業になります。エックスサーバーも、VPSでは同社による修正の適用は行っていないと案内しています。
見直しは、次の3つの場所に分けて考えます。
今回の件で確かめること（PHPのバージョン）
この手順で、今回の脆弱性への対応状況と、使っているPHPのバージョンを確かめます。
2026年10月21日、PHPの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の詳細と修正版が公開されました。国家サイバー統括室はXで、修正をできるだけ早く適用し、難しい場合はウェブサイトの一時停止も有効な対策だと呼びかけました。高市早苗首相も、自身のXで修正の準備を呼びかけています（共同通信）。
エックスサーバーは、レンタルサーバーのPHP 5.1〜8.5の対象サーバーすべてで、2026年10月26日までに対応を完了しています。レンタルサーバーの利用者は原則として対応不要で、急いでPHPのバージョンを変える必要はない、と案内しています。
ただし、古いPHPを使い続けてよいわけではありません。エックスサーバーは、PHP 8.1以前は開発元のサポートが終了しているとして、PHP 8.3以上の利用を勧めています。WordPressも、推奨の環境をPHP 8.3以上としています。
| PHPのバージョン | 開発元のセキュリティサポート |
|---|---|
| 8.1以前 | 終了 |
| 8.2 | 2026年12月31日まで |
| 8.3 | 2027年12月31日まで |
| 8.4 | 2028年12月31日まで |
| 8.5 | 2029年12月31日まで |
出典：PHP公式サイト「Supported Versions」（2026年11月14日時点）
いまのバージョンは、次の手順で確かめます。
- エックスサーバーのサーバーパネルにログインします。
- ［PHP Ver.切替］を開きます。
- ドメインごとに、いまのPHPのバージョンを確かめます。サーバーの契約時についている初期ドメイン（○○.xsrv.jp）も確かめます。
バージョンを切り替えるときは、次の順番で進めます。切り替えは同じ画面でドメインごとに行え、問題があれば元のバージョンに戻せます（エックスサーバーの案内）。
- サイトのバックアップを取ります。
- WordPress本体、テーマ、プラグインを最新にします。
- ［PHP Ver.切替］で、8.3以上に切り替えます。
- トップページ、主なページ、お問い合わせフォームが動くかを確かめます。
- 問題があれば元のバージョンに戻し、原因を調べてから切り替え直します。
エックスサーバーで見直す設定
この手順で、WordPressに届く前の、サーバーの段階の守りを確かめます。どれもサーバーパネルで、ドメインごとに設定します。
| 設定（サーバーパネル） | 適切な状態 | 何を防ぐか |
|---|---|---|
| PHP Ver.切替 | 8.3以上 | 修正が提供されない、古いPHPを使い続けること |
| WAF設定 | 6種類の対策（XSS・SQL・ファイル・メール・コマンド・PHP）をすべてON | 攻撃によく使われる文字列を含むアクセスを、WordPressに届く前に止める |
| WordPressセキュリティ設定 | 国外アクセス制限、ログイン試行回数制限、大量コメント・トラックバック制限がON（いずれも初期状態でON） | 海外からの管理画面への接続や、パスワードの総当たり |
| php.ini設定 | display_errors をOff（初期値はOn） | エラー文に含まれるフォルダ名などが、画面に出ること |
| 自動バックアップ | 標準で毎日、過去14日分（設定は不要） | 万一のときに戻す手段がないこと |
WAFは、不正アクセスを100％防ぐものではなく、最低限の予防策です。WordPressやプラグインを最新に保つことも必要です（エックスサーバーのマニュアル）。設定の反映には、最大30分程度かかる場合があります。
WAFを有効にしたあと、管理画面で保存した直後にエラーが出るようになったときは、WAFが反応していないかを、制作会社や保守の担当者に確かめてもらいます。
国外アクセス制限がONのときは、海外から管理画面を使うと制限がかかります。海外出張などで使う予定があるときは、前もって設定を確かめます。
WordPressで見直す設定
この手順で、WordPressの中の「入口」を減らします。自社でも確かめられることと、制作会社に任せたほうがよいことに分けます。
自社でも確かめられること
- ［ダッシュボード］→［更新］で、WordPress本体、テーマ、プラグインが最新になっているかを確かめます。
- 使っていないプラグインは、停止するだけでなく削除します。使っていないテーマも削除します（使っているテーマと、その親テーマは残します）。
- 配布が止まったプラグインや、長く更新されていないプラグインは、代わりのものに置き換えます。WordPress.orgのプラグインのページで、最終更新日や配布停止の表示を確かめられます。
- ［設定］→［一般］の「だれでもユーザー登録ができるようにする」がオフになっているかを確かめます。
- ［ツール］→［サイトヘルス］で、重大な問題が出ていないかを確かめます。
- ［ユーザー］の一覧に、使っていないアカウントが残っていないかを確かめます（詳しくは続きの記事で扱います）。
プラグインの自動更新を有効にしておくと、修正版が出たときに自動で更新されます。更新で表示が変わることもあるため、更新のあとに表示を確かめる担当を決めておきます。
制作会社に任せたほうがよい設定
次の設定は、サーバーの設定ファイルやプログラムを書き換えるため、知識のある人が行います。どれも、攻撃の手がかりや入口を減らすための設定です。
| 設定 | 何を防ぐか |
|---|---|
| XML-RPC（外から操作する機能）の停止 | この機能を使った、不正ログインの試行。スマートフォンのアプリから投稿している場合は使えなくなることがあるため、先に確かめる |
| ユーザー名の一覧を、外から取り出せないようにする | 不正ログインの手がかりにされること |
| 管理画面からのファイル編集の停止 | 管理画面に入られたときに、プログラムを書き換えられること |
| 画像などの保存フォルダで、プログラムを動かさない | 画像に見せかけて置かれたプログラムが動くこと |
| フォルダの中身の一覧を表示しない | サーバーの中のファイル名を見られること |
| WordPressのバージョンを表示しない | 弱点のあるバージョンかどうかを、外から知られること |
| セキュリティヘッダーの追加 | 偽のサイトの中に埋め込まれて、操作させられる手口など |
バックアップを複数の場所に置く
この手順で、万一のときに元に戻せる状態をつくります。
エックスサーバーの自動バックアップは、毎日、過去14日分のデータを保管しています。ただし、エックスサーバー自身も、データの保全を保証するものではないとして、利用者自身でバックアップを取ることを勧めています。
DPDの見方：次の3か所に控えがある状態を目安にしています。1か所が使えなくなっても、ほかの場所から戻す手段が残ります。
| 保管場所 | 内容の例 | 取るタイミングの例 |
|---|---|---|
| サーバー会社の自動バックアップ | ファイルとデータベース | 毎日（エックスサーバーは過去14日分） |
| WordPressのバックアップ用プラグイン（例：BackWPup） | サイト全体 | 月1回など、決めた周期で自動 |
| 外部のクラウドストレージ | サイト全体 | 大きな変更の前と、決めた周期 |
PHPの切り替えなど、大きな変更の前には、その時点のバックアップを取ります。バックアップの保存先が、外から見えない場所になっているかも確かめます。
できたか確かめる
設定を変えたら、次の4つを確かめます。
- トップページと主なページが、エラーなく表示されれば完了です。
- お問い合わせフォームから送信でき、メールが届けば完了です。
- 管理画面で投稿や固定ページを開き、保存できれば完了です。
- ［ツール］→［サイトヘルス］で、重大な問題が出ていなければ完了です。
よくあるつまずき
| 症状 | 原因 | 直し方 |
|---|---|---|
| PHPを切り替えたら、画面にエラーが出た | テーマやプラグインが、新しいPHPに対応していない | PHPを元のバージョンに戻し、テーマとプラグインを更新してから切り替え直す |
| 管理画面で保存すると、エラーになる | WAFが、正常な操作を攻撃と判断した可能性がある | 制作会社や保守の担当者に、WAFの設定と記録を確かめてもらう |
| 海外から管理画面に入れない | 国外アクセス制限がONになっている | 使う前に、制限の設定を確かめる |
| 見覚えのないファイルやユーザーがある | 不正アクセスの可能性がある | 削除する前に、制作会社や保守の担当者に相談する。エックスサーバーのアクセスログは過去30日分を取得できるため、早めに保存する |
まとめ
- 確かめること：PHPのバージョン（8.3以上か）と、エックスサーバーの対応状況
- サーバーの設定：WAF、WordPressセキュリティ設定、display_errors、自動バックアップ
- WordPressの設定：更新、使っていないものの削除、ユーザー登録の設定、サイトヘルス。専門的な設定は制作会社に任せる
次の一歩
社内のIDとパスワードの見直しは、続きの記事で扱っています。更新やプラグインの見直しの手順は、公開済みの次の記事にまとめています。
- 【社内の運用】会社のIDとパスワードの見直し方｜ユーザーの整理と保管のルール
- 【WordPress】プラグインとテーマを更新する手順
- 【SWELL】非推奨プラグインを見直して無効化する手順
- 【WordPress】不要な管理者アカウントを整理する手順
- 【Contact Form 7】Turnstileでスパムを防ぐ手順
DPD（Duo Partner Design）では、この記事にある確認と設定から、作業後のご報告までをお受けしています。どこまでできているかわからない場合も、お問い合わせからご相談ください。
参考
- エックスサーバー「PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）対応状況とよくある質問」
- エックスサーバー「PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関する、利用サーバー環境への安全対策について」
- 熊本日日新聞（共同通信）「PHP注意喚起、状況把握に全力 政府、SNSで情報周知」
- PHP「Supported Versions」
- WordPress.org「Requirements」
- エックスサーバー マニュアル「WAF設定」
- エックスサーバー マニュアル「WordPressセキュリティ設定」
- エックスサーバー マニュアル「php.ini設定項目について」
- エックスサーバー「自動バックアップ機能」
