2026年10月21日、PHPに深刻なセキュリティ脆弱性が発見され、緊急のセキュリティアップデートが公開されました。
今回公表されたのは、認証なしでリモートコード実行（RCE）が可能になる恐れがある2件の重大な脆弱性です。
PHPはWordPressをはじめ、多くのWebサイトやWebアプリケーションで使用されているため、影響は広範囲に及びます。
私が運用しているWordPressサイトでも古いPHPを使用していたため、今回の発表を受けてPHP 8.4へのアップデートを実施しました。
この記事では、脆弱性の概要、WordPressのPHP対応バージョンの確認方法、そしてCentOS Stream・Rocky Linux・AlmaLinux・Oracle LinuxなどのRHEL系LinuxでPHPをアップデートする手順を紹介します。
1. 2026年10月21日に公表されたPHPの重大な脆弱性
PHP公式プロジェクトは、2026年10月21日に以下の2件の重大な脆弱性を修正したセキュリティアップデートを公開しました。
- CVE-2026-109618：メモリ不足時の内部データ処理に起因するメモリ破損の問題
- CVE-2026-109619：解放済みメモリへのアクセス（Use-After-Free）に関する問題
いずれも、特定の条件下で攻撃者が認証なしにサーバー上で任意のコードを実行できる可能性があります。
深刻度はCVSS 9.2と評価されており、PHPを利用するWebサイトの管理者は早急な対応が必要です。
修正済みPHPバージョン
| PHP系列 | 修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP 8.1以前はすでに公式サポートが終了しているため、サポート対象のPHPバージョンへの移行が必要です。
2. WordPressが対応するPHPバージョンを確認する
PHPを更新する前に、WordPress本体やプラグインが新しいPHPに対応しているか確認しましょう。
WordPress公式サイトでは、バージョンごとのPHP互換性を公開しています。
今回使用しているWordPressは7.1.3で、PHP 8.4に対応しています。
ただし、WordPress本体が対応していても、テーマやプラグインがすべて正常に動作するとは限りません。
WooCommerceや決済プラグインなどを利用している場合は、アップデート後の動作確認が重要です。
3. 現在のPHPバージョンを確認する
今回の方法は、DNFモジュールを利用するRHEL系Linux環境を対象としています。
CentOS Stream、Rocky Linux、AlmaLinux、Oracle Linux、RHELなどで応用できますが、OSのバージョンやリポジトリ構成によって手順が異なる場合があります。
まず、PHPのバージョンを確認します。
php -v私の環境では次のバージョンでした。
PHP 8.2.25今回のサーバー環境はOracle Linux 8.10（ARM64）、Nginx、PHP-FPM、WordPressという構成です。
4. Remiリポジトリを追加する
RHEL系Linuxでは、標準リポジトリから最新のPHPが提供されていない場合があります。
そこで、Remiリポジトリを利用します。
RHEL系Linux 8の場合：
dnf install https://rpms.remirepo.net/enterprise/remi-release-8.rpmRHEL系Linux 9の場合：
dnf install https://rpms.remirepo.net/enterprise/remi-release-9.rpm※環境によってEPELなどの追加リポジトリが必要になる場合があります。
追加後、PHP 8.4のモジュールが利用できるか確認します。
dnf module list php一覧に php remi-8.4 が表示されれば、PHP 8.4への切り替えが可能です。
5. PHPを8.4へアップデートする
作業前に、WordPressのファイル、データベース、PHP設定ファイルを必ずバックアップしてください。
まず、実際には変更せず、アップデート内容だけ確認します。
dnf module switch-to php:remi-8.4/common --assumeno今回の環境では次の結果になりました。
Install 11 Packages
Upgrade 25 Packages
Total download size: 26 Mパッケージ削除や依存関係の問題がないことを確認できたため、正式にアップデートします。
dnf module switch-to php:remi-8.4/common -yこのコマンドはPHP 8.2専用ではありません。RemiのPHP 8.4モジュールへ切り替えるためのコマンドです。
ただし、現在のPHPバージョンによっては依存関係の調整が必要になることがあります。
6. PHP-FPMを再起動する
アップデート後、PHPバージョンを確認します。
php -v続いて、PHP-FPMの設定を確認します。
php-fpm -t問題がなければ、PHP-FPMを再起動します。
systemctl restart php-fpmサービスの稼働状況を確認します。
systemctl is-active php-fpmactive と表示されれば正常です。
今回の環境では既存のPHP-FPM Socketをそのまま利用できたため、Nginxの設定変更は不要でした。
7. WordPressの動作確認
PHPのアップデート後は、WordPressのトップページや管理画面に加え、使用中のテーマ、プラグインの動作を確認します。
特にWooCommerce、Stripeなどの決済機能、PDF生成、メール送信などは重点的に確認しておきましょう。
まとめ
2026年10月21日に公表されたPHPの重大な脆弱性を受け、WordPressサーバーのPHPを8.4へアップデートしました。
今回紹介したRemiリポジトリを使った方法は、Oracle Linuxだけでなく、CentOS Stream、Rocky Linux、AlmaLinux、RHELなどの環境でも応用できます。
重要なのは、PHPの修正版を適用するだけでなく、WordPressとプラグインの互換性を確認し、アップデート後の動作までチェックすることです。
今後もPHPやWordPressのセキュリティ情報を定期的に確認し、安全なサーバー運用を心がけたいと思います。