【重要】PHP の脆弱性について、当社製品ご利用の皆さまへ

本記事は、PHP 公式やサーバー事業者の発表に合わせて、随時更新します。

いつも当社製品をご利用いただき、ありがとうございます。

2026年10月21日、国家サイバー統括室から、PHP 本体に重大な脆弱性が 2 件あるという注意喚起が出されました。PHP の修正版は、同日23時（日本時間）に公開されました。

PHP は、WordPress を動かしているサーバー側のプログラムです。今回の問題は当社製品の不具合ではありません。ただ、当社製品をお使いのサイトも PHP の上で動いているため、皆さまのサイトにも関わる問題です。

特に PHP 7.4〜8.1 は、すでに公式のサポートが終了しており、今回の修正が提供されない可能性が高いと考えられます。（後述）当社では、本脆弱性への修正が済んだ PHP 8.3.36以上／8.4.27以上／8.5.12以上のいずれかへの切り替えをおすすめします。

本記事では、皆さまにお願いしたい対応と当社の対応をまとめました。ご自身のサイトに当てはまる項目をご確認ください。

目次

まずお願いしたいこと

  • お使いのサーバーの PHP のバージョンを確認してください
  • PHP 8.3 未満の方は、本脆弱性の修正済みバージョンPHP 8.3.36以上／8.4.27以上／8.5.12以上のいずれかへの切り替えをお願いします。当社製品は PHP 8.3 以上で動作確認済みです
  • WordPress 本体、テーマ、プラグインをすべて最新版にしてください

なぜ PHP 8.2ではなく8.3以上なのか

  • PHP 8.2のサポートは、2026年12月31日で終了します（あと約2か月）。今8.2に切り替えても、年明けにはまた切り替えが必要になります
  • PHP 8.3は、2027年12月31日までサポートが続きます
  • 当社製品で現時点で動作確認しているのは、PHP 8.3です
  • 次回のアップデートから、当社製品の動作要件は PHP 8.3以上になります。PHP 8.2以下の環境では、今後のアップデートを受け取れません

国家サイバー統括室からの注意喚起（2026年10月21日 13:01）

続報はこちら。

PHP 公式の発表内容（2026年10月20日）

  • 修正版の公開：2026年10月21日 14:00 UTC（日本時間 23:00）
  • 対象は重大な脆弱性 2 件で、どちらも深刻度は CVSS v4.0 で 9.2
  • 詳細が公になった場合や、実際の悪用が確認された場合は、予定より早く公開されることがある
  • 影響するバージョンと修正版の番号は、公開時に発表

（出典：PHP公式 https://www.php.net/archive/2026.php ）

PHP のサポート状況（PHP 公式）

  • ※ PHP 7.4〜8.1：サポート終了済み（修正は提供されない可能性が高い）
  • PHP 8.2：2026年12月31日まで
  • PHP 8.3：2027年12月31日まで
  • PHP 8.4：2028年12月31日まで
  • PHP 8.5：2029年12月31日まで

（出典：PHP公式 https://www.php.net/supported-versions.php ）

※ 今回の脆弱性の深刻度を考慮し、PHP 7.4、PHP 8.0、PHP 8.1向けに最小限のソースバックポート（新しいバージョンで行った修正を、古いバージョンのソースコードにも移植すること）を提供しています。

Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor.

（出典：Security advisory: Critical remote code execution vulnerabilities, update now）

↑の対応がされたとしても、PHP 7.4〜8.1のサポートが終了していることには変わりません。

当社の対応

  • 何度も書きますが、今回の問題は PHP 本体の脆弱性で、当社製品の不具合ではありません
  • 現在配布している当社製品は、PHP 8.3 での動作を確認しています
  • 次回のアップデートから、当社製品の動作要件をPHP 8.3以上に引き上げます
    • PHP 8.3 未満の環境では、それ以降のアップデートを受け取れなくなります

当社製品の対応状況

以下の製品について、動作要件を PHP 8.3 以上に引き上げました。未掲載の製品については、対応が済み次第、順次掲載いたします。

Nishiki シリーズ

  • Nishiki 2.15.0
  • Nishiki Pro 1.2.0
  • Nishiki Pro for WC 1.2.0
  • Nishiki Pro Speed Builder 1.1.0

Hakoniwa シリーズ

  • Hakoniwa 1.5.0
  • Hakoniwa Tools 1.2.0
  • Hakoniwa Blocks 1.3.0

WP 不動産オンライン

  • Estate Hub 1.2.0

AnimaGate Store

  • AG Radar Chart Block 1.1.0
  • AG Doc Navi 1.1.0

その他、協業パートナー製品については、開発元からの発表をご確認ください。

PHP 7.4〜8.2 をお使いの方

  • バックアップを取ってください
  • 当社製品に限らず、お使いの WordPress 本体、テーマ、プラグインをすべて最新版に更新してください
  • 使っていないテーマやプラグインは削除してください（停止しただけではファイルがサーバーに残ります）
  • 長く更新されていないプラグインは、停止・削除するか、代わりのプラグインをご検討ください
  • セキュリティ系のプラグインは停止しないでください
  • サーバーの管理画面で、PHP 8.3.36以上／8.4.27以上／8.5.12以上のいずれかに切り替えてください
  • 切り替えた後、サイトの表示を確認してください（問題があれば元のバージョンに戻せます）

PHP 8.3以上をお使いの方

  • 今回の修正は、8.3 以上の PHP にも提供されています
  • レンタルサーバーをご使用の場合は、事業者が修正対応するのを待ち、その案内をご確認ください
  • ご自身でサーバーを管理している場合は、修正版の対応を進めてください
  • WordPress 本体、テーマ、プラグインもすべて最新版に保ち、使っていないものは削除してください

エックスサーバーをご利用の方

  • 本ページ公開時点で、予防措置としてエックスサーバーの管理画面が一時停止しています（サイトは通常どおり動作しています）そのため、PHP のバージョン変更ができません。→ 管理画面へログインできることが確認できました（2026/10/23（金）01:45 時点）
  • もし、現時点でも管理画面にログインできない場合は、今のうちに、バックアップと、WordPress 本体・テーマ・プラグインの更新、使っていないものの削除を済ませてください
  • 管理画面が再開したら、すぐに PHP のバージョンを確認し、PHP 8.3.36以上／8.4.27以上／8.5.12以上のいずれかに切り替えてください
  • 今後の対応については、エックスサーバーからの発表をご確認ください

すべての方へ

  • 「緊急アップデート」「管理画面が再開しました」などと案内するメールや SMS のリンクは開かないでください
  • 当社製品は、当社の運営サイトからのみ入手してください
  • 当社の運営サイト（サポトピア／Hakoniwa／WP 不動産オンライン）のアカウントで 2 要素認証を設定してください（偽メールでパスワードを盗まれた場合の乗っ取りを防げます）
  • お困りの際は、当社のユーザーコミュニティのフォーラムにご投稿ください

関連記事

目次