2026.10.21 / SECURITY RELEASE
PHP公式が、2件の重大な脆弱性の修正版を公開
2026年10月21日、PHP公式は2件の重大な脆弱性を修正したバージョンを公開しました。認証なしで任意のコードを実行される可能性があり、利用環境の確認と速やかな対策が必要です。
CVE-2026-109618CVE-2026-109619
PHP公式の発表 ↗PHP SECURITY / 緊急のご案内
PHPの重大な脆弱性。
今、確認してほしいこと。
何が起きた？ どんなリスク？ どう対応する？
PHPを利用するWEBサイト・システムの管理者さまへ。状況の確認から更新・検証までをご案内します。
01
何が起きた？ 公開されている情報
今回の修正版
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
事前準備の注意喚起
10月21日に予防的な情報を公開。利用が分かっている製品について、提供元の案内を確認し、対策に備えるよう呼びかけています。
IPAの案内 ↗対策と侵害調査を推奨
10月22日に注意喚起を公表。影響を受ける場合は修正版の適用と侵害の有無の調査を推奨しています。
JPCERT/CCの注意喚起 ↗一部コンテンツを一時停止
10月22日、安全対策のため一部コンテンツ・サービスの一時停止と、緊急点検・修正適用を案内しています。
国土交通省のお知らせ ↗02
分かりやすく言い換えると？
WEBサイトを建物に例えると、見た目では分からない内部設備に弱点が見つかった状態です。
WEBサイト建物全体
→デザイン・画像・文章は、外観や内装に当たります。
WordPressなどのCMS建物を動かす設備
→情報の管理・更新などを担う部分です。
PHPその設備を動かす仕組み
脆弱性があると、サーバー内部へ影響が及ぶおそれがあります。
03
想定されるリスク
脆弱性が悪用された場合、次のような被害につながる可能性があります。
WEBサイトの改ざん
ページの書き換えや不審なコンテンツの設置など、サイトの内容が変更されるおそれがあります。
情報の漏えい
保存されている個人情報などが不正に取得されるおそれがあります。影響は保管情報や権限によって異なります。
不正なプログラムの実行
攻撃者に意図しないコードを実行されるおそれがあります。
システムの乗っ取り
サーバーが侵害され、継続的な不正利用につながるおそれがあります。
企業の信用への影響
改ざんや情報漏えいが発生すると、顧客・取引先への対応や事業の継続に影響する可能性があります。
影響範囲は、WEBサイトやサーバーの構成・権限・保存している情報によって異なります。
04
対応の進め方
- 01
現在の環境を確認
PHP・CMS・プラグイン・サーバーの構成と提供元の情報を確認します。
- 02
バックアップ・証拠保全
更新前のデータを保全します。侵害が疑われる場合は、関連ログなどの証拠も保全します。
- 03
影響・互換性を確認
更新先のPHPとCMS・プラグイン・独自機能の互換性を検証します。
- 04
必要な更新を実施
提供元の案内に沿って修正を適用します。直ちに更新できない場合も、対応方針を確認します。
- 05
表示・動作を確認
画面表示に加え、フォーム・管理画面・各種機能の動作を確認します。
- 06
侵害の有無を調査
不審なファイルや通信、ログなどを調べ、必要に応じて隔離・追加調査を行います。
サポート終了済みのPHPは、サポート中のバージョンへの移行をご検討ください。侵害が疑われる場合は証拠保全と影響調査も必要です。最新の対策は公式情報をご確認ください。
CPD SUPPORT
対応のご相談について
費用について
状況を確認したうえで、調査・修正の費用を個別にご案内します。
着手・復旧の目安
対応可否・着手時期・復旧の見通しは、症状と環境を確認後にご案内します。
受付・対応時間
PHP緊急対応の受付条件は、ご相談時に個別にご案内します。
ご相談からの流れ
- 症状・発生時刻・PHPのバージョンなどをお知らせください。
- 対象の環境と影響範囲を確認し、対応可否・進め方・費用をご案内します。
- 合意した内容に沿って調査・修正を進めます。
パスワードなどの機密情報は、最初のお問い合わせ本文には記載しないでください。
症状を相談するLET’S CREATE WHAT’S NEXT.
次の一歩を、
一緒につくりませんか。
課題がまだ曖昧でも大丈夫です。
まずは、今のお話を聞かせてください。