超簡単に説明すると、管理されてない古いサイトは簡単にハッキングできて悪意のあるプログラムが実行される可能性が非常に高くなったということです。
今後は安全のためにも調べ物はAIで行う、ググってもサイトを開かない等（画像検索で画像表示させる段階で止めておいてサイトを開かない）気をつける必要があります。
以下は今回の詳しい説明です。
問題の脆弱性
2026年10月21日、世界中の多くのウェブサイトやシステムで使われているプログラム言語「PHP」の超重要（深刻度が高い）な脆弱性に対する修正プログラムが公開されました。
1. 「PHP」ってなに？
PHPは、インターネット上のウェブサイト（ブログ、ECサイト、企業ホームページなど）の裏側で動いている、非常に有名なプログラム言語です。世の中の数多くのウェブサイトが、このPHPの仕組みを使って動いています。
2. 今回何が起きたの？（一言でいうと）
PHPの心臓部（メモリの管理やエラー処理をする部分）に、「外から悪意ある命令を送り込まれると、サーバーを丸ごと乗っ取られてしまうかもしれない重大な抜け穴（脆弱性）」が2件見つかりました。
専門用語では「リモートコード実行（RCE）」と呼ばれるもので、パスワードなども入力せずに、外部からネット経由で勝手にプログラムを実行されてしまうという、非常に危険な状態でした。
3. 具体的にどんな抜け穴だったの？
仕組みを少しだけかみ砕くと、以下のようなものです。
- 記憶違いのバグ（メモリ管理のミス）
- ウェブサイトに大量のデータが送られて処理しきれなくなったときや、エラーが起きたとき、PHPは「お掃除（メモリの片付け）」をします。
- そのお掃除の仕方に不手際があり、「まだ整理しきれていない中途半端なデータ」や「すでに消したはずの古い記憶」を、別の処理が誤って使ってしまう隙がありました。
- そこを突かれるとどうなるか
- 攻撃者がこの「誤った処理」をわざと引き起こすような特殊なアクセスを送り込むと、サーバーの内部で自分の都合の良いプログラム（攻撃用のプログラム）を勝手に動かされてしまいます。
- 結果として、ウェブサイトが書き換えられたり、顧客情報が盗まれたり、サーバーが完全に破壊・乗っ取られたりする危険がありました。
4. 一般の利用者が気をつけることは？
すでに悪用を試みる動き（攻撃の兆候）も確認されているため、システム管理者は一刻も早いアップデートやセキュリティ対策が求められる、非常に緊迫した事態となりました。
私たちが何か設定を変えたり、パスワードを変えたりする必要はある？
一般のインターネット利用者側で、何か個別の操作やパスワード変更をする必要は基本的にはありません。
ウェブサイトを運営している人・企業の対応は？
大急ぎでPHPのバージョンを修正版（最新の安全なバージョン）にアップデートする必要があります。
新たなRCE脆弱性、CVE-2026-115560
確認したところ、CVE-2026-115560は実在する脆弱性として、PHP公式が2026年10月23日に注意喚起を出しています。
ただし、今回の問題は「すべてのPHPサーバーが同じように危険」というものではありません。特定の設定が重なった場合にリモートコード実行（RCE）につながる可能性があるもので、PHP開発チームは発生条件が珍しいと説明しています。
どのような条件で危険なのか？
PHP公式によると、次の 3つの条件がすべて重なる場合 に問題が発生する可能性があります。
- PHPの設定で
session.serialize_handlerをphp_binaryまたはphp_serializeにしている。 - アプリケーションが実行中に
ini_set()で設定をphpに切り替え、その後session_start()を呼び出す。 - セッションのファイルアップロード進捗機能が有効になっている。
通常の設定のままで、アプリケーションが実行中にシリアライズ方式を切り替えない場合、この脆弱性に対してアップロード進捗機能を無効化する必要はないとPHP公式は説明しています。
今すぐ必要な対策
1. 暫定対策を適用する
PHP公式は、次の通常リリースまで設定を無効にするよう推奨しています。
session.upload_progress.enabled=0すでに10月21日の別の脆弱性への対策としてこの設定を適用済みなら、追加作業は不要です。
2. 修正版の公開を確認する
2026年10月24日現在、PHP公式の案内では、この問題の詳細な勧告と修正は次回の通常リリースに合わせて公開する予定です。10月21日に公開された修正版だけで、今回の問題も解消したと判断しないようにしましょう。
今回私が取った行動
・脆弱性の話しが出て問題の修正版が出る前にWordPressの完全な（データベースも）バックアップをローカルにダウンロード。
・レンタルサーバーが対応し、WordPressのPHPが修正版になった後にローカルに落としたもので上書き。
・サーバーでWordPress外に怪しいファイル、設定がされていないかを手動で確認。
セキュリティは素人なんで正解かどうかはわかりませんw