ホットケルby みらいスタジオ

2026年10月に続いた脆弱性と、WordPressの更新では直らない理由

公開

2026年10月16日からの8日間に、Studio、Java、PHP、Node.js、Rubyの5つの基盤で緊急の対応が必要になりました。10月21日に修正版が公開されたPHPの脆弱性2件（深刻度9.2）は、WordPress本体やプラグインの更新では直りません。サーバーに入っているPHPの更新が必要で、PHPのバージョンアップを制作会社に頼むと、多くは1サイト3.3万円〜（税込）です。

10月の後半に、不正アクセスと深刻な脆弱性の公表が続きました

サイト制作ツールへの不正アクセス、言語やランタイムの深刻な脆弱性が、10月の後半に続けて公表されました。一つひとつは対応できても、続くと確認と更新に追われ、本来の仕事に手が回らなくなります。

対応には費用もかかります。制作会社に頼めばそのたびにスポット費がかかり、社内で行えば担当者の時間が取られます。

2026年10月16日からの8日間に公表されたこと
  1. 10月16日：Studioが不正アクセスを公表
  2. 10月20日：Java SEで定例の修正55件を公開
  3. 10月21日：Javaの緊急アラート（CVSS 9.1）を定例の翌日に公開
  4. 10月21日：PHPで深刻度9.2の脆弱性2件の修正版を公開
  5. 10月21日：Node.jsが3系統で10件の修正を公開
  6. 10月23日：Rubyが正規表現エンジンの修正4件を公開

出典は本文の1〜7です。

Studio（10月16日）

Studioが不正アクセスを公表しました。登録している全ユーザーのアカウント情報、サイトのフォーム送信内容、外部連携のAPIキーなどが流出した可能性があると発表されています。暗号化して保存していたデータも、復号の鍵が同時に読み出されたため内容を知られた可能性がある、と説明されています1。フォームを使っていた会社が確かめることは、Studioの不正アクセスの解説にまとめました。

Java（10月20日・21日）

10月20日の定例の一括修正で、Java SEだけで55件の修正が公開されました2。翌21日には、証明書の検証に関わる脆弱性（CVSS 9.1）の緊急アラートが出ました3。

PHP（10月21日）

深刻度9.2の脆弱性2件の修正版が公開されました4。WordPressの更新では直らず、レンタルサーバー各社が緊急メンテナンスを行いました5。詳しくは次の節で説明します。

Node.js（10月21日）

3系統で10件の修正が公開されました。圧縮データの処理でリモートからコードを実行されるおそれのある問題を含みます6。

Ruby（10月23日）

正規表現エンジンの修正が4件公開されました。利用者の入力から正規表現を組み立てるアプリが対象です。報告元のGitLabでは、自社製品への影響を最大10.0（CVSS v3.1）と評価しています。この値はGitLab自身への影響を示すもので、Ruby側は評価値を公表していません7。

PHPの脆弱性は、条件がそろうとログインなしでコードを実行されるおそれがあります

PHPで見つかった脆弱性2件の深刻度は、CVSS v4.0で10点中の9.2です。条件がそろうと、ログインなしで外部からサーバー上のコードを実行されるおそれがあります。修正版は2026年10月21日に公開されました4。

WordPressの更新で直らないのは、直す対象がサーバーのPHPだからです

WordPress本体やプラグインの更新では解決しません。直すには、サーバーに入っているPHPを更新する必要があります4。管理画面のボタン一つで済む更新とは違い、サーバーの言語そのものを入れ替え、そのあとサイトが動くかを確かめる作業で、手間と費用がかかります。

誰が更新するかは、サーバーの種類で変わります。

PHPを更新する人は、サーバーの種類で変わる

レンタルサーバー

サーバー会社が更新し、御社は待つしかない

自社サーバー・VPS

御社の作業になる

PHPのバージョンアップを制作会社に頼むと、多くは1サイト3.3万円〜（税込）で、他社が作ったサイトは12.1万円〜という料金表もあります8。保守の月額との関係はWordPressの保守費の解説で説明しています。PHPのサポート期限についてはPHP 8.2のサポート終了の解説もご覧ください。

サーバー会社の予防措置で、一時停止したサイトもあります

10月21日夜から22日にかけて、国内の主要なレンタルサーバー各社が緊急メンテナンスを行い、一部では予防措置として顧客サイトを一時停止しました5。各社の対応は、各社の公式告知をご確認ください。

PHPの脆弱性の報告は増えています

PHPの開発を支える団体によると、AIを使った調査で報告が増え、2026年7月以降に15件の脆弱性が公開されました。今後も更新が必要になる場面は減らない見込みです9。

公開サーバーでプログラムを動かさない構成なら、この種の対応は要りません

公開サーバーでプログラムを動かさない構成なら、脆弱性のニュースが出るたびに、更新を控えたりサイトを止めたりする必要はありません。その方法の一つが静的化で、仕組みは静的化の解説で説明しています。

静的化で、すべての攻撃を防げるわけではありません。今回のような言語やランタイムの脆弱性と、フォームの保管先への侵入に強い構成にするものです。フォームの保管については問い合わせフォームの暗号化の解説をご覧ください。

御社のサイトが移せるかは、無料のURL診断で確かめられます。

出典

2026年10月23日時点の情報です（8番は2026年11月2日に確認）。

  1. Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）: https://studio.design/ja/whats-new/unauthorized-access-2026-10
  2. Oracle「Critical Patch Update Advisory - October 2026」（2026年10月20日）。Java SEの修正件数は同アドバイザリの記載: https://www.oracle.com/security-alerts/cpuoct2026.html
  3. Oracle「Security Alert Advisory - CVE-2026-91403」（2026年10月21日）: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
  4. PHP公式のリリース告知（2026年10月21日、8.5.12／8.4.27／8.3.36／8.2.35）および GitHub Security Advisory（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）。CVE-2026-109618、CVE-2026-109619: https://www.php.net/archive/2026.php
  5. 国内レンタルサーバー各社の告知のまとめ（Webセキュリティ診断センター、2026年10月22日更新）。各社の対応は各社の公式告知をご確認ください: https://websec-center.com/blog/rental-server-php2shell-taiou/
  6. Node.js「October 2026 Security Releases」（2026年10月21日、v26.12.1／v24.22.1／v22.23.4）: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
  7. Ruby「Regexp compilation fixes related to GitLab's CVEs」（2026年10月23日、4.0.9／3.4.12／3.3.13）。深刻度はGitLabのパッチリリース告知 19.5.1（2026年10月21日、CVE-2026-110264、CVSS 10.0）の評価で、GitLab 自身への影響を示す値。Ruby側は評価値を公表していない: https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/、https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
  8. 合同会社キューブリック「PHPバージョンアップの費用相場」（制作会社などの公開料金のまとめ。2026年10月23日公開、10月30日更新、2026年11月2日確認）。業者で8,800円〜12.1万円、制作会社の多くは3.3万円〜（税込）: https://cubrick.co.jp/tech_blog/php-update-cost/
  9. The PHP Foundation「Today's PHP security release and how we're strengthening PHP security」（2026年10月21日）: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/

サービス概要の 1 枚とサービス資料をダウンロードできます。

無料のURL診断は、メールアドレスとサイトの URL だけで申し込めます。結果はメールでお送りします。お電話での営業はいたしません。