--- title: "2026年10月に続いた脆弱性と、WordPressの更新では直らない理由｜ホットケル" url: "https://hottokel.com/guide/vulnerabilities-2026-10" description: "2026年10月16日からの8日間に、Studio、Java、PHP、Node.js、Rubyで緊急の対応が必要になりました。PHPの深刻度9.2の脆弱性2件は、WordPress本体やプラグインの更新では直らず、サーバーのPHPの更新が必要です。" lang: "ja" --- # 2026年10月に続いた脆弱性と、WordPressの更新では直らない理由 2026年11月8日 公開 2026年10月16日からの8日間に、Studio、Java、PHP、Node.js、Rubyの5つの基盤で緊急の対応が必要になりました。10月21日に修正版が公開されたPHPの脆弱性2件（深刻度9.2）は、WordPress本体やプラグインの更新では直りません。サーバーに入っているPHPの更新が必要で、PHPのバージョンアップを制作会社に頼むと、多くは1サイト3.3万円〜（税込）です。 ## 10月の後半に、不正アクセスと深刻な脆弱性の公表が続きました サイト制作ツールへの不正アクセス、言語やランタイムの深刻な脆弱性が、10月の後半に続けて公表されました。一つひとつは対応できても、続くと確認と更新に追われ、本来の仕事に手が回らなくなります。 対応には費用もかかります。制作会社に頼めばそのたびにスポット費がかかり、社内で行えば担当者の時間が取られます。 2026年10月16日からの8日間に公表されたこと 1. 10月16日：Studioが不正アクセスを公表 2. 10月20日：Java SEで定例の修正55件を公開 3. 10月21日：Javaの緊急アラート（CVSS 9.1）を定例の翌日に公開 4. 10月21日：PHPで深刻度9.2の脆弱性2件の修正版を公開 5. 10月21日：Node.jsが3系統で10件の修正を公開 6. 10月23日：Rubyが正規表現エンジンの修正4件を公開 出典は本文の1〜7です。 ### Studio（10月16日） Studioが不正アクセスを公表しました。登録している全ユーザーのアカウント情報、サイトのフォーム送信内容、外部連携のAPIキーなどが流出した可能性があると発表されています。暗号化して保存していたデータも、復号の鍵が同時に読み出されたため内容を知られた可能性がある、と説明されています1。フォームを使っていた会社が確かめることは、[Studioの不正アクセスの解説](https://hottokel.com/guide/studio-incident-2026-10)にまとめました。 ### Java（10月20日・21日） 10月20日の定例の一括修正で、Java SEだけで55件の修正が公開されました2。翌21日には、証明書の検証に関わる脆弱性（CVSS 9.1）の緊急アラートが出ました3。 ### PHP（10月21日） 深刻度9.2の脆弱性2件の修正版が公開されました4。WordPressの更新では直らず、レンタルサーバー各社が緊急メンテナンスを行いました5。詳しくは次の節で説明します。 ### Node.js（10月21日） 3系統で10件の修正が公開されました。圧縮データの処理でリモートからコードを実行されるおそれのある問題を含みます6。 ### Ruby（10月23日） 正規表現エンジンの修正が4件公開されました。利用者の入力から正規表現を組み立てるアプリが対象です。報告元のGitLabでは、自社製品への影響を最大10.0（CVSS v3.1）と評価しています。この値はGitLab自身への影響を示すもので、Ruby側は評価値を公表していません7。 ## PHPの脆弱性は、条件がそろうとログインなしでコードを実行されるおそれがあります PHPで見つかった脆弱性2件の深刻度は、CVSS v4.0で10点中の9.2です。条件がそろうと、ログインなしで外部からサーバー上のコードを実行されるおそれがあります。修正版は2026年10月21日に公開されました4。 ## WordPressの更新で直らないのは、直す対象がサーバーのPHPだからです WordPress本体やプラグインの更新では解決しません。直すには、サーバーに入っているPHPを更新する必要があります4。管理画面のボタン一つで済む更新とは違い、サーバーの言語そのものを入れ替え、そのあとサイトが動くかを確かめる作業で、手間と費用がかかります。 誰が更新するかは、サーバーの種類で変わります。 PHPを更新する人は、サーバーの種類で変わる レンタルサーバー サーバー会社が更新し、御社は待つしかない 自社サーバー・VPS 御社の作業になる PHPのバージョンアップを制作会社に頼むと、多くは1サイト3.3万円〜（税込）で、他社が作ったサイトは12.1万円〜という料金表もあります8。保守の月額との関係は[WordPressの保守費の解説](https://hottokel.com/guide/wordpress-maintenance-cost)で説明しています。PHPのサポート期限については[PHP 8.2のサポート終了の解説](https://hottokel.com/guide/php-82-eol)もご覧ください。 ## サーバー会社の予防措置で、一時停止したサイトもあります 10月21日夜から22日にかけて、国内の主要なレンタルサーバー各社が緊急メンテナンスを行い、一部では予防措置として顧客サイトを一時停止しました5。各社の対応は、各社の公式告知をご確認ください。 ## PHPの脆弱性の報告は増えています PHPの開発を支える団体によると、AIを使った調査で報告が増え、2026年7月以降に15件の脆弱性が公開されました。今後も更新が必要になる場面は減らない見込みです9。 ## 公開サーバーでプログラムを動かさない構成なら、この種の対応は要りません 公開サーバーでプログラムを動かさない構成なら、脆弱性のニュースが出るたびに、更新を控えたりサイトを止めたりする必要はありません。その方法の一つが静的化で、仕組みは[静的化の解説](https://hottokel.com/guide/static-site)で説明しています。 静的化で、すべての攻撃を防げるわけではありません。今回のような言語やランタイムの脆弱性と、フォームの保管先への侵入に強い構成にするものです。フォームの保管については[問い合わせフォームの暗号化の解説](https://hottokel.com/guide/encrypted-form)をご覧ください。 ## 関連する解説 - [サイト移行の流れと移行レポート: URLを送ってから切り替えるまでの4ステップ](https://hottokel.com/guide/migration-flow) - [ホットケルの料金: プラン、初期費の決まり方、見積もり例、契約の形](https://hottokel.com/guide/pricing) 御社のサイトが移せるかは、[無料のURL診断](https://hottokel.com/#contact)で確かめられます。 ## 出典 2026年10月23日時点の情報です（8番は2026年11月2日に確認）。 1. Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）: [https://studio.design/ja/whats-new/unauthorized-access-2026-10](https://studio.design/ja/whats-new/unauthorized-access-2026-10) 2. Oracle「Critical Patch Update Advisory - October 2026」（2026年10月20日）。Java SEの修正件数は同アドバイザリの記載: [https://www.oracle.com/security-alerts/cpuoct2026.html](https://www.oracle.com/security-alerts/cpuoct2026.html) 3. Oracle「Security Alert Advisory - CVE-2026-91403」（2026年10月21日）: [https://www.oracle.com/security-alerts/alert-cve-2026-91403.html](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) 4. PHP公式のリリース告知（2026年10月21日、8.5.12／8.4.27／8.3.36／8.2.35）および GitHub Security Advisory（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）。CVE-2026-109618、CVE-2026-109619: [https://www.php.net/archive/2026.php](https://www.php.net/archive/2026.php) 5. 国内レンタルサーバー各社の告知のまとめ（Webセキュリティ診断センター、2026年10月22日更新）。各社の対応は各社の公式告知をご確認ください: [https://websec-center.com/blog/rental-server-php2shell-taiou/](https://websec-center.com/blog/rental-server-php2shell-taiou/) 6. Node.js「October 2026 Security Releases」（2026年10月21日、v26.12.1／v24.22.1／v22.23.4）: [https://nodejs.org/en/blog/vulnerability/october-2026-security-releases](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) 7. Ruby「Regexp compilation fixes related to GitLab's CVEs」（2026年10月23日、4.0.9／3.4.12／3.3.13）。深刻度はGitLabのパッチリリース告知 19.5.1（2026年10月21日、CVE-2026-110264、CVSS 10.0）の評価で、GitLab 自身への影響を示す値。Ruby側は評価値を公表していない: [https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/](https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/)、[https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) 8. 合同会社キューブリック「PHPバージョンアップの費用相場」（制作会社などの公開料金のまとめ。2026年10月23日公開、10月30日更新、2026年11月2日確認）。業者で8,800円〜12.1万円、制作会社の多くは3.3万円〜（税込）: [https://cubrick.co.jp/tech\_blog/php-update-cost/](https://cubrick.co.jp/tech_blog/php-update-cost/) 9. The PHP Foundation「Today's PHP security release and how we're strengthening PHP security」（2026年10月21日）: [https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) [サービス概要の 1 枚とサービス資料](https://hottokel.com/#download)をダウンロードできます。 [無料のURL診断](https://hottokel.com/#contact)は、メールアドレスとサイトの URL だけで申し込めます。結果はメールでお送りします。お電話での営業はいたしません。