PHPの緊急脆弱性(2026年10月21日)｜修正版8.5.12・8.4.27・8.3.36・8.2.35が公開。対象の環境、自社サイトの確かめ方、いまやること

公式の発表で分かったこと(2026年10月21日23時公開)

PHPのセキュリティチームは2026年10月21日14時(協定世界時)、日本時間で同日23時に、セキュリティアドバイザリと4系列の修正版を公開しました。アドバイザリの冒頭は「修正版4つは、認証なしの遠隔コード実行を許しうる重大な脆弱性2件を修正する。すべてのPHP利用者に直ちに更新することを強く勧める」という趣旨です。

何が直されたのか

2件のCVE番号は、公開前にCERT-EUが伝えていたとおり、CVE-2026-109618とCVE-2026-109619です。公式の説明を平易にすると、1件目は、メモリ不足でPHPの処理が途中で止まったとき、リクエストの内部データが中途半端な状態で残り、後片付けの処理がそれを正しいものとして扱ってしまう問題です。2件目は、あるリクエストが使っていた内部の状態がメモリの解放後も残り、同じワーカー(処理を受け持つプロセス)が次に処理するリクエストで、初期化される前にその古い状態を使ってしまう問題です。どちらも、外部からのリクエストだけで引き起こせる経路があるため、遠隔コード実行につながるとされています。

誰が対象か

Webのリクエストを処理しているすべてのPHP環境です。公式はPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを挙げています。このうちmod_phpは、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する実証があるとして、最も危険だとしています。WordPressやEC-CUBEのように、PHPで書かれたソフトを使っているサイトは、サーバーのPHPがこの対象に当たります。コマンドラインだけで使っているPHPは、公式が挙げた対象には含まれていません。

8.1以前を使っている場合

PHP公式からは、8.1以前の修正版は出ません。公式は2つの道を示しています。1つは、LinuxディストリビューションやLTS(長期サポート)ベンダーが修正を移植して配ることがあるので、それを使うこと。もう1つは、サポート中の系列に上げることです。自分でソースコードから組み立てている人のために、7.4・8.0・8.1向けの最小限の修正もソースコードの分岐として公開されています。ボランティアが保守している外部のRPM配布元(remi)は、公開時点で更新がないため、ディストリビューションのパッケージかソースからの組み立てに切り替えるよう書かれています。

出典: PHP「Security advisory: Critical remote code execution vulnerabilities, update now」(2026-10-21) / PHP「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released!」(2026-10-21) / PHP「Supported Versions」 / PHP「Unsupported Branches」

国を挙げた対応になっています(首相の呼びかけ、企業の緊急メンテナンス)

今回は、首相・公的機関・国内の主要なサービスまでが動く対応になっています。ITmedia NEWSと時事通信によると、高市早苗首相は2026年10月21日22時前、X(旧Twitter)で「今夜に対応して頂きたい大至急のお願い」として、公開される修正パッチを可及的速やかに適用できるよう準備することを呼びかけました。適用が難しい場合は、Webサイトなどを一時的に停止させることもリスクを下げる有効な策の一つ、とも述べています。首相が個別のソフトウェアの脆弱性についてXで直接対応を呼びかけるのは異例だと、ITmedia NEWSは伝えています。内閣官房の国家サイバー統括室も同様の内容をXで呼びかけたと報じられています(2026年10月22日9時15分時点で、同室の公式ページには掲載を確認できていません)。

公的機関では、IPAが2026年10月21日に「事前準備のお願い」を掲載し、PHPを使っているプログラムの棚卸しと、修正版が出たら速やかに適用できる準備を求めました。国内のサービスも動いています。ITmedia NEWSによると、ネットショップ作成サービスのBASE、サイゲームズの「ウマ娘 プリティーダービー」「Shadowverse: Worlds Beyond」、保育園向けサービスのコドモンなどが、公開に合わせて緊急メンテナンスに入りました。エックスサーバーの予防的な一時停止と修正の適用は、下の「サーバー会社の対応状況」にまとめています。

経営者の方にお伝えしたいのは、首相が「一時的に停止させることも有効な策の一つ」と述べた点です。ITmedia NEWSは、これが経営層にリスクが伝わり、サイトを止める判断の後押しになりうる、という現場の受け止めを伝えています。自社のサイトを止めるかどうかは、この記事の「すぐに更新できないとき」の節も踏まえて、売上への影響と併せて判断してください。

出典: ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請 エンジニアは評価『経営層に伝わる』」(2026-10-22 06:31) / 時事ドットコム「プログラム言語『ＰＨＰ』に重大弱点 高市首相、ＳＮＳで注意喚起」(2026-10-21 23:14) / IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」(2026-10-21)

自社に関係があるかの見分け方

PHPは、Webサーバーの上で動くプログラミング言語です。画面に「PHP」と表示されることはほとんどないため、使っていることに気づいていない会社がよくあります。ITmedia NEWSは、W3Techsの調査として、サーバー側の言語が分かるWebサイトの約7割がPHPを使っていると報じています。次のどれかに当てはまれば、PHPで動いている可能性が高いと考えてください。

• 会社のWebサイトやブログをWordPressで作っている。管理画面のURLに「wp-admin」が入っている
• ECサイトをEC-CUBEなど、自社のサーバーに入れて使うECの仕組みで運営している
• 会員サイトや予約・問い合わせのシステムを、LaravelやCakePHPなどで制作会社に作ってもらった
• Drupal、Moodle(eラーニング)、MediaWikiなど、PHPで書かれた公開ソフトを使っている
• レンタルサーバーの管理画面に「PHPバージョン」の設定項目がある

反対に、Shopify・BASE・STORESなどのネットショップ作成サービスや、Wixのようなノーコードの制作サービスでサイトを作っている場合は、サーバーの管理はサービス側の仕事です。自社でPHPを更新する作業はありません。IPAは、PHPを内部で使っている製品については、開発元や提供元のセキュリティ情報を確かめるよう求めています。

誰が更新するのかで、やることが変わる

出典: ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け」(2026-10-21) / IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」(2026-10-21)

いまやること

修正版はすでに公開されています。順番は次のとおりです。PHPで動いているものを書き出す作業がまだなら、それが最初です。本番のサイトだけでなく、検証用のサイト、昔のキャンペーンサイト、使っていない管理画面も含めてください。

• 系列を確かめる: それぞれのサーバーのPHPのバージョン(例: 8.3.35)を、管理している人に確認する。レンタルサーバーなら管理画面で見られることが多い
• バックアップを取る: 更新の前に、サイトのファイルとデータベースのバックアップを取り、戻し方を確かめる
• 修正版に上げる: 8.5は8.5.12、8.4は8.4.27、8.3は8.3.36、8.2は8.2.35へ。8.1以前は、ディストリビューションやサーバー会社の修正の有無を確かめ、無ければサポート中の系列への移行を始める
• 動作を確かめる: トップ、ログイン、カート、問い合わせフォームなど、決めておいた画面を開く
• 記録して報告する: いつ、どのサーバーを、どのバージョンに上げたかを1行で残す。委託先に任せた場合は、同じ内容を文章で報告してもらう。あとで不審なアクセスを調べるとき、更新の前か後かが最初の手がかりになる

同じ2026年10月21日には、Node.jsも深刻度Highの4件を含む脆弱性10件の修正版(26.12.1・24.22.1・22.23.4)を公開しています。Next.jsやNuxt、ExpressなどJavaScriptで作ったサイト・システムも使っている会社は、PHPの対応が終わったら同じ週のうちに更新してください。見分け方と誰が更新するかは、当社の解説「Node.jsの脆弱性10件とNext.jsの緊急修正」(この節の出典)にまとめました。

WAF(Webアプリケーションファイアウォール。不正な通信を遮る仕組み)を使っている場合は、提供元が今回の脆弱性向けのルールを出しているかも確かめてください。WAFは更新の代わりにはならず、更新までのつなぎです。攻撃の仕組みについてはネット上にさまざまな推測が出ていますが、作業の根拠にするのは公式の発表だけにしてください。

制作会社・サーバー会社に聞く質問

自社でサーバーを触らない会社は、次の質問をそのまま送れば足ります。サーバー会社については、先にお知らせのページを見ると、ほとんどの答えが載っています。

• 当社のサイト・システムはPHPで動いていますか。PHPのバージョンは何ですか
• 2026年10月21日に公開されたPHPの修正版(8.5.12・8.4.27・8.3.36・8.2.35)を、当社のサーバーにはいつ、どのバージョンで適用しますか(しましたか)
• PHPの更新は、今の契約の範囲に入っていますか。入っていない場合、費用と日程はどうなりますか
• 更新のときサイトは止まりますか。止まる場合、何分くらいですか
• 更新前にバックアップを取りますか。問題が出たときに元に戻せますか
• PHPのバージョンが古く、公式の修正版が出ていない場合、どう対応しますか
• 更新が終わったら、日時と更新後のバージョンを知らせてもらえますか

出典: PHP「Security advisory: Critical remote code execution vulnerabilities, update now」(2026-10-21) / PHP「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released!」(2026-10-21) / 当社の解説「Node.jsの脆弱性10件(2026年10月21日)とNext.jsの緊急修正(10月14日)」

すぐに更新できないとき

古い系列のまま動いていて修正版に上げられない、上げると表示が壊れる、制作会社と連絡が取れない。そういう場合の選択肢です。どれも更新の代わりにはなりません。

• 配布元の修正を使う: Linuxのディストリビューション(Red Hat Enterprise Linux、Ubuntuなど)やサーバー会社が、古い系列向けに修正を当てた版を出していないかを確かめる。エックスサーバーは旧バージョン向けに同社独自の修正を順次適用中と告知している(次の節)
• サポート中の系列へ移行する: 動作確認が要るため日数がかかる。制作会社と一緒に計画する
• WordPressのサイトで、いまのサーバーでは新しいPHPを選べない、更新する人がいない場合: サポート中のPHPが選べるサーバーへの移転か、WordPressをやめて静的なサイトにする引っ越しが選択肢になる。見分け方と依頼先に確かめることは、当社の解説「WordPressの引っ越しを頼みたい」(この節の出典)にまとめた
• インターネットから切り離す: CERT-EUは、すぐに修正を適用できない場合、修正できるまで公開しているアプリケーションを公開ネットワークから切り離すことを検討するよう勧めている。ECや予約サイトでは売上に響くため、経営判断として決める

公式が示した設定による緩和策

PHP公式は、すぐに更新できない環境向けに、設定での緩和策を示しています。ただし「攻撃の経路を減らすものであって、安全を保証するものではない」と明記しています。設定の変更は、サーバーを管理している人に頼んでください。自社でPHPの設定を触ったことがない場合は、無理に試さず、更新の段取りを優先してください。以下は公式の記載で、設定名と値はそのままです。

• CVE-2026-109618向け: memory_limitを-1にする(アプリ側で上書きできない場所、FPMプールのphp_admin_valueやApacheの設定で)。post_max_sizeを小さくする(アップロードが不要なら8M、必要なら32M。upload_max_filesizeはそれより小さく)。Webサーバーやプロキシで、リクエストの大きさ、入力項目の数、マルチパートの数、ヘッダーの数、入れ子の深さを制限する(Content-Lengthが無い場合にも効くように)。コンテナやcgroupでの制限はよいが、RLIMIT_ASやRLIMIT_DATAは使わない
• CVE-2026-109619向け: session.upload_progress.enabledを0にして、すべてのワーカーを再起動する(php.ini、FPMプール、またはリクエストの解析前に効くサーバー設定で。ini_set()や.user.iniでは効かない)。PHP 8.5ではfatal_error_backtracesも0にして再起動する。初期化前に警告を出す無効・非推奨の設定を取り除く(error_reportingやdisplay_errors、@で隠しても効果はない)。攻撃者が到達できる致命的エラーや実行タイムアウトを直す

出典: PHP「Security advisory: Critical remote code execution vulnerabilities, update now」(2026-10-21) / CERT-EU Security Advisory 2026-018「Critical Vulnerabilities in PHP」(2026-10-20) / 当社の解説「WordPressの引っ越しを頼みたい｜PHPの緊急修正を機に、移すべきサイト・更新で足りるサイト」

サーバー会社の対応状況(2026年10月22日9時15分時点)

エックスサーバー株式会社は2026年10月21日16時、使っているソフトウェアの脆弱性の修正版が同日公表される予定であるとして、公式サイトと管理画面を予防的に一時停止しました(不正アクセスの発生によるものではなく、利用者のサーバーとWebサイトの表示、メールには影響なし、との告知)。その後、同日23時頃に公開された修正版をもとに対応を進め、2026年10月22日6時45分時点で、PHP 8.2〜8.5について対象のすべてのサーバーへの修正パッチの適用が完了したと告知しています。旧バージョンは同社独自の修正を作成し、検証が終わったものから順次適用中、公式サイトと管理画面は点検が終わった機能から順次再開中、としています。

他のサーバー会社についても、各社のお知らせで「いつ・どのバージョンに適用したか」を確かめてください。この特集では、各社の対応を予測したり比べたりはしません。確認できた告知があれば追記します。

出典: エックスサーバー株式会社「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」(2026-10-21 16:00掲載、2026-10-22 06:45更新)

公開前の経緯(2026年10月20日〜21日)

PHPのセキュリティチームは2026年10月20日、公式サイトのニュースで、2026年10月21日14時(協定世界時)にセキュリティリリースを出すと予告しました。重大な脆弱性2件、いずれも深刻度の指標CVSS v4.0で9.2、詳細と影響範囲は公開時に公表する、詳細が公になるか悪用の証拠が出れば前倒しする、という内容でした。

欧州連合の機関向けのセキュリティ組織CERT-EUは、同日付けのセキュリティアドバイザリ2026-018でこの2件を取り上げ、CVE番号(CVE-2026-109618・CVE-2026-109619)と、CVSSの値から認証なしの遠隔コード実行の可能性があるという見方を示しました。外部の情報としてPHP 5以降の全バージョンが影響を受けうるとも書いていました。IPAも2026年10月21日に「事前準備のお願い」を掲載し、自組織でPHPを使っているプログラムの棚卸しと、修正プログラムが出たら速やかに適用できる準備を求めました。サポート終了の古いPHPを使い続けているサイトに特に注意が必要、としています。

公開された内容は、CVE番号も、認証なしの遠隔コード実行という見方も、事前の情報と一致していました。

出典: PHP「Upcoming Critical PHP Security Release」(2026-10-20) / CERT-EU Security Advisory 2026-018「Critical Vulnerabilities in PHP」(2026-10-20) / IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」(2026-10-21)

この秋の国内の情報漏えいとの関係

2026年の秋は、国内で企業の情報漏えいの公表が相次いでいます。そのため、今回のPHPの脆弱性と結びつけて考えたくなるかもしれません。しかし、2026年10月22日9時15分(日本時間)の時点で、今回の脆弱性が原因だったと公表した国内の事案はありません。各社の公表の多くは「不正アクセス」や「脆弱性を悪用された」までで、どのソフトのどの脆弱性かは明かされていません。公開前に攻撃の試みが観測されたとの報道はありますが(ITmedia NEWS)、特定の事案と結びつく公式の発表はありません。この特集では、公式の発表で確認できない限り、個々の事案とPHPの脆弱性を関連づけません。

どちらにも共通する教訓はあります。自社のWebサイトが何で動いていて、誰が更新するのかを、平時から把握しておくことです。今回の確認作業は、そのままサイトの棚卸しになります。

出典: PHP「Security advisory: Critical remote code execution vulnerabilities, update now」(2026-10-21) / ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請 エンジニアは評価『経営層に伝わる』」(2026-10-22 06:31)

まだ分かっていないこと・この記事の更新履歴

次の2点は、2026年10月22日9時15分の時点で確認できていません。分かり次第、この記事に追記します。

• 実際の悪用の公式な確認。公式の発表には、mod_phpでの攻撃の実証があると書かれていますが、野外での悪用の有無は書かれていません。ITmedia NEWSは、脆弱性の情報が公開前にネット上に流出してPoC(概念実証コード)が出回り、公開前に攻撃の試みも観測されていたと報じています(報道ベース。公式の発表ではありません)
• JPCERT/CCの注意喚起と、IPAの公開後の追記。IPAの「事前準備のお願い」には、追記すべき情報があれば更新するとあります

更新履歴

• 2026年10月21日11時30分: 公開前の予告とCERT-EUの注意喚起をもとに初版を公開
• 2026年10月21日夕方: エックスサーバーの予防的な一時停止の告知と、WordPressの引っ越しの解説への案内を追記
• 2026年10月22日9時: 修正版の公開を受けて、修正版の番号、脆弱性の内容、対象の環境、8.1以前の扱い、緩和策、エックスサーバーの適用状況に更新
• 2026年10月22日9時10分: 読みやすさのため全体を組み直し、IPAの事前準備のお願いを出典に追加
• 2026年10月22日9時15分: 高市首相の呼びかけ、国家サイバー統括室、国内サービスの緊急メンテナンス、公開前の攻撃の試みの報道を追記
• 2026年10月22日9時40分: 同じ日に公開されたNode.jsの修正版(10件)と、10月14日のNext.jsの緊急修正について、当社の解説へのリンクを「いまやること」に追加

よくあるご質問

PHPの修正版はいつ公開されましたか。どのバージョンに上げればよいですか

2026年10月21日14時(協定世界時)、日本時間で同日23時に、予告どおり公開されました。修正版は8.5.12・8.4.27・8.3.36・8.2.35です。自社のPHPの系列(8.2〜8.5のどれか)に対応する修正版に上げてください。レンタルサーバーでサーバー会社が当てる方式なら、各社の告知で適用の完了を確かめてください。

どのバージョン・どの環境のPHPが対象ですか

PHP公式は、Webのリクエストを処理しているすべてのPHP環境(PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed)を対象としています。サポート中の8.2〜8.5には修正版が出ました。8.1以前は公式の修正版が出ないため、ディストリビューションやサーバー会社の修正を確かめるか、サポート中の系列に上げる必要があります。mod_phpは、認証なしのリクエストでアプリのコードが動く前に攻撃が成立する実証があり、最も危険とされています(2026年10月22日時点の公式発表)。

WordPressで作ったサイトも対象ですか

WordPressはPHPで動いているため、サーバーのPHPが対象です。WordPress本体やプラグインの更新とは別に、サーバーのPHPそのものを修正版に上げる必要があります。誰がPHPを更新するのか(レンタルサーバー会社か、自社か、制作会社か)を確かめ、レンタルサーバーなら各社の告知で適用の完了を見てください。いまのサーバーで新しいPHPを選べない場合の選択肢は、「すぐに更新できないとき」の節にあります。

自社のサイトがPHPで動いているか分かりません。どうすればよいですか

サイトを作った制作会社か、サーバーを契約しているレンタルサーバー会社に聞くのが確実です。「当社のサイトはPHPで動いていますか。バージョンは何ですか。今回の修正版は適用しましたか」と聞けば足ります。管理画面のURLに「wp-admin」が入っていればWordPress、つまりPHPです。Shopifyなどのネットショップ作成サービスを使っている場合は、サーバーの更新はサービス側の仕事です。

すぐに更新できない場合はどうすればよいですか

PHP公式は設定による緩和策(memory_limitを-1にする、post_max_sizeを小さくする、session.upload_progress.enabledを0にして再起動する、PHP 8.5ではfatal_error_backtracesを0にするなど)を示していますが、攻撃の経路を減らすだけで安全を保証しないと明記しています。8.1以前なら、公式が公開したソースコードへの最小限の修正や、ディストリビューション・サーバー会社の修正を確かめ、並行してサポート中の系列への移行を計画してください。CERT-EUは、すぐに修正を適用できない場合、インターネットに公開しているアプリケーションを切り離すことも検討するよう勧めています。止めるかどうかは、売上への影響も含めて経営判断として決めてください。