PHP 脆弱性｜PHP 緊急アップデートは自社も対象か・誰に何を頼むか

PHP 脆弱性と PHP 緊急アップデート：先に結論と確認日時

2026年10月21日の夜（日本時間）、PHP の開発チームが、重大な脆弱性（ソフトの弱点）2件を直した修正版を公開しました。外部から勝手にプログラムを動かされるおそれがあります（リモートコード実行＝RCE）。いわゆる PHP の緊急アップデートです。PHP 公式の告知、米国の CISA（サイバー防衛機関）、日本の IPA（情報処理推進機構）などの一次資料を、2026年10月22日 9時時点で確認しました。

先に結論です。

• 何が起きたか：修正版は PHP 8.5.12・8.4.27・8.3.36・8.2.35 です。PHP 公式は、完全な対策は更新だけで、設定の変更では足りないとしています。
• 自社に関係があるか：WordPress のサイトや、予約・会員・ネットショップなど、PHP で動くものが対象になりえます。WordPress 公式によれば、WordPress の更新は不要で、サーバーの PHP の更新が要ります。
• 最初にやること：PHP のバージョンを調べ、自分で触らないなら制作会社・サーバー会社に聞き、バックアップを取ってから更新します。

状況は変わりえます。最新の情報は、PHP 公式と、契約先（サーバー会社・制作会社）のお知らせで読み直してください。

目次

PHP とは何か：ウェブサイトの裏で動く調理場

PHP は、ウェブサイトの裏側で動くプログラミング言語です。サーバー（サイトを置いているコンピューター）の中で、閲覧者のアクセスを受け取り、ページを組み立てて返します。たとえるなら、レストランの調理場です。注文が入るたびに、その場で料理を作って出します。

W3Techs（ウェブ技術の統計会社）の2026年10月21日の集計では、サーバー側の言語が分かるサイトの69.3%が PHP を使っています。WordPress も PHP で動くため、中小企業のサイトの多くが関わります。

今回の弱点は、各サイトのメニュー（WordPress やテーマ）ではなく、調理場の設備そのものにあります。

PHP の利用に気づきにくい場合もあります。IPA は、PHP が製品や機器の内部で使われ、利用者が把握できないことがあるとして、マニュアルや開発元の情報で確かめるよう案内しています。

何が見つかったか：2件の脆弱性と深刻度の数字

脆弱性には、世界共通の識別番号（CVE）が付きます。今回は次の2件です。

• CVE-2026-109618（メモリ不足の処理の不具合）：メモリが足りなくなった瞬間に、PHP が準備の途中のデータを残し、後片付けがそれを正常と取り違えます。
• CVE-2026-109619（古い状態の使い回し）：前のアクセスの内部状態がメモリの解放後も残り、同じ作業担当（ワーカー）が次のアクセスで使ってしまいます。

たとえるなら、前の注文の食材が残った調理台で、次の料理を作り始めるようなものです。この弱点を突かれると、ID やパスワードなしで、外から送ったアクセスだけで、サーバー上のプログラムを動かされるおそれがあります。

PHP 公式は、Apache に組み込む方式（mod_php）で最も危険が高いとしています。ただし対象は、PHP-FPM（別の窓口で PHP を動かす方式）など、ウェブのアクセスを処理するすべての構成です。

深刻度の数字は、評価した主体と物差しの版で変わります。

CVSS（深刻さを0〜10で表す共通の物差し）は、版が違うと計算も違います。9.2 と 9.8 は大小を比べる数字ではなく、どちらも最も重い「Critical（重大）」の区分です。

自社は関係あるか：PHP を使っているかと、版の調べ方

PHP を使っていれば対象になりえます。次の順で確かめます。

WordPress のサイトの場合

管理画面の「ツール」の「サイトヘルス」を開き、「情報」タブの「サーバー」を見ると、PHP のバージョンが分かります。WordPress 公式の表記は Tools > Site Health > Info > Server です。自分の系統の修正版（8.5.12・8.4.27・8.3.36・8.2.35）以上なら、公式の修正版の番号に達しています。

ただし、数字だけでは判断できない場合があります。配布元が修正を取り込むと、版の数字は変わらないことがある、と The Hacker News は指摘しています。数字が古くても、契約先に確かめます。

ほかのサイトや業務システムの場合

WordPress 公式によれば、多くのホスティング会社では、PHP の版を利用者が自分で変えられます。画面の名前は会社ごとに違うため、各社のマニュアルで確かめます。見られない場合や、予約・会員のシステムは、制作会社に聞くのが近道です。

PHP 8.1 以前の場合

PHP 8.1 の公式サポートは2025年12月31日に終わっています。サポートの終わった版は、部品の供給が止まった古い機械のようなものです。PHP 公式は修正版を出していません。ただし、Linux の配布元などが修正を取り込む場合があります。PHP 開発チームは、7.4・8.0・8.1 向けの簡易な修正も、ソースの形で公開しました（自分でビルドする人向け）。

公式の影響範囲の一覧（CVE の記録）に載るのは、8.2〜8.5 です。8.1 以前は、この一覧に載っていません。一方、Wiz、Cloudflare、Google Cloud は、5.4 以降のほぼすべてが影響を受けると説明しています。当社の整理では、古い版は「影響がない」ではなく「公式の修正版が出ない」と考えます。

W3Techs の2026年10月21日の集計から当社が計算すると、PHP を使うサイトの約48%が 8.1 以前です（外から版が見えるサイトだけ）。

8.2 にも期限があります。PHP 公式のサポート表では、8.2 のセキュリティ修正は2026年12月31日で終わります。WordPress 公式の要件は、推奨を PHP 8.3 以上としています。8.2.35 に更新しても、8.3 以降への移行計画は要ります。土台を放置するリスクは、ホームページを放置するデメリットの記事で整理しています。

最初の2日でやること：確認・連絡・バックアップ・更新・確認

自分で PHP を触らない場合も、順番は同じです。

1. 調べる：前の章の方法で、PHP のバージョンを確かめます。管理画面が見られないときは、お知らせを読み、制作会社に聞きます。
2. 聞く：PHP を更新する人を確かめます（下の図）。質問は次の章のひな形で足ります。
3. バックアップを取る：更新で表示や機能が崩れることに備えます。工事の前に撮る部屋の写真のようなもので、戻す先がないと直せません。WordPress 公式も、更新前のバックアップを勧めています。
4. 更新する：担当者が行います。更新後は、動いている PHP の再起動が要ると、Hadrian や The Hacker News が指摘しています。
5. 確かめる：トップページ、問い合わせフォーム、ログイン、決済、予約など、売上に関わる画面を開いて見ます。

更新する人は、契約で変わります。保守の内訳は保守費用の記事に、
連絡のつかない制作会社は制作会社の変え方の記事にあります。

制作会社・サーバー会社に聞く質問（ひな形）

たとえるなら、整備士への問診票です。そのまま送れる形にしました。

8.1 以前の場合は、移行の予定、方法、費用も聞きます。

更新できないとき：移行・停止・アクセス制限と、設定変更の限界

古い PHP でしか動かない業務システムなど、すぐ更新できない場合があります。選択肢は3つです。

1. サポート中の環境へ移す：8.2 以降を動かせる別のサーバーへ移すか、作り直します。時間と費用がかかるため、移行までは2と3を併用します。手順はサーバー移転ガイドにあります。
2. 更新まで止める：CISA は、更新できない場合や 8.1 以前を使い続ける場合に、更新までオフラインにするよう推奨しています。英国の NCSC も停止の検討を求めています。鍵を替える間の臨時休業のようなもので、問い合わせや予約が止まるため、事業への影響と比べて決めます。
3. アクセスを絞る：社内でしか使わないシステムは、社内の通信先だけに限ります。WAF（Web 向けの防火壁）は、入口に立つ警備員のようなものです。CISA は更新までの一部の保護になりうるとしますが、設備の不具合は直せません。

設定を変えて一時しのぎをする方法も、PHP 公式は示しています。たとえば session.upload_progress.enabled を 0 にして、すべてのワーカーを再起動する方法です。ただし公式は、これらは特定の攻撃経路を減らすだけで、守られた状態にはならないと明記しています。設定は担当者が行い、更新までのつなぎにとどめます。

レンタルサーバー各社の対応：公式のお知らせで確認できた範囲

主要なレンタルサーバー各社の公式のお知らせを、10月22日朝に確認しました（読めなかったものもあります）。PHP との関係を明記していた会社のうち、次の3社を表にしました。

このほか KAGOYA と CPI も、10月21日付のお知らせで PHP の脆弱性への対応に触れています（KAGOYA は PHP 8.2〜8.5 のレンタルサーバープランを順次更新する予定、CPI は管理画面を停止中でサイトの表示は通常どおりと案内）。残りの会社は、当社が読んだ範囲のお知らせに PHP の記載がありませんでした。更新の有無は書けないため、契約先のお知らせで確かめてください。

悪用の状況と経緯：誰がいつ報告したか

攻撃を試みる通信を見た、という報告は複数あります。一方、成功して被害が出たと確認できる一次資料は、当社が確認した範囲では見当たりませんでした。

• CISA（米国）・IPA（日本）：10月21日の時点で、悪用は観測・確認していないとしています。PHP 財団も、公開の時点で動作する攻撃コードは確認していないとしています。
• watchTowr（セキュリティ会社）：自社のおとりの装置で、10月21日に悪用を観測したとしています。SecurityWeek によれば、攻撃の試みで、成功例は見ていないとのことです。
• Cloudflare：10月21日に、自社の顧客を狙う攻撃の通信を観測したとしています。
• Hadrian（セキュリティ会社）：10月21日に、大規模な悪用を見ているとしています。他社の報告と食い違います。

GMO Flatt Security は、攻撃に使えると主張するコードが出回り始めたと報告しています。言い方の違いは、見ている場所（おとり、防火壁、顧客のサイト）の違いと、当社は見ています。各社の観測は、当社では検証していません。

なお Wiz は、発見と攻撃コードづくりにAIを使い、数か月かかる作業を1人の研究者が約1週間で終えたと説明しています。これは Wiz の主張です。AIと攻撃の速度は、Microsoftの防衛レポートの記事で扱っています。

公開前に出回った経緯

PHP 財団によれば、日本時間の10月21日午前0時ごろ、2件の CVE 番号が掲示板や SNS に出回りました。誤った公開時刻と、誤った10.0の数字が付いていました。技術的な詳細は漏れなかったと財団は説明し、PHP は公開を1日早めました。その後、報告した研究者側が誤って公開した実演の動画が広まり、攻撃の試作コードの開発を早めた、とも書いています。

国内の公的機関

IPA は、サポートの終わった古い PHP を使い続けるサイトも見受けられると書いています。共同通信は、国家サイバー統括室も注意喚起したと報じています。JPCERT/CC の注意喚起の一覧では、10月22日朝の時点で、この件を確認できませんでした。

確認できなかったこと

公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。

• 実際にサイトが乗っ取られた例や、情報が漏れた例（一次資料）。国内での被害の報告。
• JPCERT/CC、経済産業省、JVN の文書（10月22日朝の時点）。国家サイバー統括室は、公式サイトの一覧では確認できませんでしたが、公式 X アカウントの投稿（10月21日、準備の呼びかけ）はあります。
• EC-CUBE など製品ごとの対応（公式サイトはアクセス制限で確認できず）と、前章で挙げた会社以外のサーバー会社の対応。

よくある質問

PHP の脆弱性は、WordPress を更新すれば直りますか。

直りません。問題は WordPress ではなく、土台の PHP にあります。WordPress 公式は、WordPress の更新は不要とし、サーバーの PHP の更新を求めています。

自社が PHP を使っているか、どう調べますか。

WordPress なら、管理画面の「ツール」の「サイトヘルス」の「情報」タブで分かります。ほかは、サーバー会社の案内か制作会社への問い合わせで確かめます。

PHP 8.1 以前を使っています。どうすればよいですか。

PHP 公式は、8.1 以前の修正版を出していません。契約先が独自に修正を出す場合があるため、まず確認します。CISA は、更新できない間はオフラインにするよう推奨しています。

実際に攻撃されていますか。

10月21日の時点で、米 CISA と IPA は悪用を確認していないとしています。一方、複数のセキュリティ会社が攻撃の試みを観測したと報告しています。成功して被害が出た例は、当社の確認範囲では見当たりません。

更新の前に何をしておきますか。

サイトのバックアップを取ります。更新で表示や機能が崩れることがあるため、戻せる状態にしてから更新します。

まとめ

2026年10月21日に、PHP の重大な脆弱性2件の修正版が公開されました。PHP を使うサイトが対象になりえて、WordPress の更新だけでは直りません。最初にやるのは、確認、連絡、バックアップ、更新、動作の確認です。すぐ更新できない場合は、移行・停止・アクセス制限を事業への影響と比べて決めます。

参照元・出典

• PHP 公式：セキュリティ告知、予告、サポート表、終了版の表
• GitHub 勧告：CVE-2026-109618、CVE-2026-109619。NVD：109618、109619
• 公的機関：CISA（10月21日）、IPA（10月21日）、英国 NCSC
• PHP 財団のブログ（10月21日）
• WordPress 公式：告知、PHP の更新、要件、サイトヘルス（日本語）
• セキュリティ各社：Wiz、Cloudflare、watchTowr、Hadrian、GMO Flatt Security
• 報道：SecurityWeek、The Hacker News、共同通信
• 統計：W3Techs、PHP 8 の内訳
• サーバー会社：エックスサーバー、ロリポップ！、ヘテムル

本記事は 2026年10月22日 9時の確認時点のものです。最新は、PHP 公式と契約先のお知らせでご確認ください。