PHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）とは、WordPressなど多くのWebサイトの土台になっているプログラム言語「PHP」で見つかった、深刻度の高い2件の弱点のことです。2026年10月21日、IPA（独立行政法人 情報処理推進機構）が【事前準備のお願い】PHPのセキュリティリリース公開予定についてを出し、修正版の公開に備えるよう呼びかけました。修正版（PHP 8.5.12・8.4.27・8.3.36・8.2.35）は、予定どおり日本時間の10月21日23時に公開されました。
この記事は、2026年10月22日3時時点で公表されている情報をもとにしています（10月21日19時時点の内容に、修正版の公開後の情報を追記しました）。サーバー会社やOSの対応は順に進んでいくため、最新の情報はPHP公式やIPA、契約しているサーバー会社のお知らせでご確認ください。自社のホームページを持つ中小企業の経営者・Web担当者に向けて、いま分かっていること、自社が関係するかの見分け方、確認と対応の手順を順に整理します。
修正版の公開で分かったこと（10月22日追記）
要点は、「Webで動いているPHPはほぼすべて対象で、更新する以外に確実な対策はない」ということです。PHP公式のセキュリティ勧告では、ログインなしで外部からプログラムを実行される（リモートコード実行）おそれのある弱点2件を修正したとして、すべての利用者にすぐ更新するよう強く呼びかけています。
| 項目 | PHP公式の発表（10月21日） |
|---|---|
| 修正済みのバージョン | PHP 8.5.12、8.4.27、8.3.36、8.2.35 |
| 対象 | Webのアクセスを処理するすべてのPHP（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを含む） |
| 最も危険な環境 | Apacheのmod_php。ログインなしのアクセスで、WordPressなどのプログラムが動き出す前に攻撃が成立する実証済みの手法がある |
| 回避策 | 完全なものはない。設定で一部の攻撃経路を減らす方法は示されているが、安全にはならないとしている |
| PHP 8.1以前 | PHP公式からの修正版は出ない。OSの提供元などによる独自の修正を確認するか、サポート中のバージョンへ移行する |
Linuxの各ディストリビューションなどには事前に修正が渡されているとされ、OSの更新として順に届きます。共用レンタルサーバーでは、エックスサーバーが10月22日1時10分の更新で、公式の修正版がある8.2〜8.5から順にお客様のサーバーへの適用を始め、修正版のない古いバージョンには独自の修正を作っていると案内しています（エックスサーバーのメンテナンスページ）。古いバージョンは対応に時間がかかる見込みとされているため、サポート中のバージョンへの切り替えを急ぐ理由がはっきりしました。
何が発表されたか（10月21日時点）
ここからは、修正版の公開前（10月20〜21日）に出ていた発表です。要点は、「PHPに深刻な弱点が2件あり、その修正版が日本時間10月21日23時に出る。出たらすぐ適用できるよう準備してほしい」という呼びかけでした。
PHP公式の事前告知
PHPの開発チームは10月20日、重大なセキュリティリリースの事前告知を出しました。公開は10月21日14時（世界標準時）、日本時間で同日23時の予定です。修正されるのは2件の重大な脆弱性で、深刻度はどちらもCVSS v4.0で9.2です。すべてのPHP利用者に、公開されたらすぐ更新できるよう今から準備するよう求めています。詳細が先に知られたり、実際の悪用が確認されたりした場合は、予定より早く公開する可能性があるとしています。
IPAの注意喚起
IPAは10月21日、この事前告知を受けて国内向けに注意喚起を出しました。IPA自身はこの脆弱性を悪用した攻撃を確認しているわけではないとしたうえで、PHPを使っているプログラムや製品の洗い出し、公式情報の確認、修正版をすぐ適用できる体制づくり、サポートが終わった古いPHPを使い続けていないかの確認を勧めています。2024年7月にもPHPの脆弱性（CVE-2024-4577）を狙う攻撃について注意喚起を出しており、攻撃者は短い時間で攻撃を仕掛けてくる可能性があると添えています。
CERT-EUの情報
EUの機関向けにセキュリティ対応を行うCERT-EUも、注意喚起（2026-018）を出しています。2件にCVE-2026-109618とCVE-2026-109619の番号が付けられ、PHP 5以降のすべてのバージョンが影響を受ける可能性があるとされています。また、深刻度の評価から、ログインなしで外部からプログラムを実行される可能性があるとの見方を示しています。
| 項目 | 10月21日19時時点の内容 | 出典 |
|---|---|---|
| 脆弱性の番号 | CVE-2026-109618、CVE-2026-109619 | CERT-EU（IPAが紹介） |
| 深刻度 | どちらもCVSS v4.0で9.2 | PHP公式 |
| 修正版の公開 | 10月21日 23時（日本時間）に公開済み。8.5.12・8.4.27・8.3.36・8.2.35 | PHP公式・IPA |
| 影響を受けるバージョン | Webで動くすべてのPHP。8.1以前は公式の修正版なし | PHP公式（10月21日） |
| 攻撃の状況 | IPAは攻撃を確認していない（10月21日時点）。PHP公式はmod_phpで実証済みの攻撃手法があるとしている | IPA・PHP公式 |
公開前に出回る情報との付き合い方
今回のように、脆弱性の中身や対象バージョンは、修正版の公開まで伏せられるのが一般的です。攻撃者に手がかりを与えないためです。公開前後はインターネット上に「〇〇なら影響なし」といった情報が出回りますが、今回は結果として、Webで動くほぼすべてのPHPが対象でした。判断は必ず公式の発表と照らし合わせてから行います。
CVSS 9.2はどのくらい深刻か
CVSSは、脆弱性の深刻さを0〜10の点数で表す世界共通のものさしです。9.0以上は最も深刻な「緊急（Critical）」に分類されるため、9.2は最優先で対応すべき水準にあたります。
点数の目安
| 点数 | 深刻度 | 対応の目安 |
|---|---|---|
| 9.0〜10.0 | 緊急（Critical） | 修正版が出たらすぐ適用する |
| 7.0〜8.9 | 重要（High） | 早めに計画して適用する |
| 4.0〜6.9 | 警告（Medium） | 通常の更新の中で適用する |
| 0.1〜3.9 | 注意（Low） | 定期的な更新で対応する |
「外部からプログラムを実行される」とはどういうことか
CERT-EUが示している「ログインなしで外部からプログラムを実行される可能性」は、専門用語で「リモートコード実行」と呼ばれます。分かりやすく言うと、攻撃者がサーバーに入り込み、サーバー上で好きな命令を動かせてしまう状態です。そうなると、サイトの改ざん、偽サイトへの転送、問い合わせフォームの個人情報の持ち出し、迷惑メールの送信元にされる、といった被害につながるおそれがあります。修正版の公開後、PHP公式は実際にこのおそれがある弱点だと発表しました。
自社のサイトが関係するかの見分け方
PHPは非常に広く使われているため、「よく分からないが、うちも使っているかもしれない」というケースが多くあります。次のどれかに当てはまれば、関係があると考えて準備を進めます。
WordPressなどPHP製のCMSを使っている
WordPress、EC-CUBE、Drupal、Joomla!など、更新画面のあるホームページの多くはPHPで動いています。WordPressのサイトであれば、ほぼ確実にPHPを使っています。WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンを確認できます。
問い合わせフォームや予約システムがPHPで作られている
CMSを使っていない静的なサイトでも、問い合わせフォームのメール送信や、予約・見積もりの仕組みだけPHPで動いていることがあります。ファイル名の末尾が「.php」のページがあれば、その部分はPHPです。制作会社に作ってもらったサイトで分からない場合は、制作会社に確認します。
製品やサービスの中にPHPが組み込まれている
IPAは、製品に組み込まれたPHPは利用者側から把握しにくいことがあると指摘しています。社内で使っている業務システム、ネットワーク機器の管理画面、パッケージ製品などがPHPを使っている場合は、提供元の発表を確認します。分からないときは、製品のマニュアルや提供元のお知らせを見るのが先です。
サーバーの種類で変わる「誰が更新するか」
PHPの更新を誰が行うかは、サーバーの契約の形で変わります。自社がどれに当たるかを先に確かめておくと、修正版が出たときに慌てずに済みます。
| サーバーの種類 | PHP本体の更新 | 利用者がやること |
|---|---|---|
| 共用レンタルサーバー（エックスサーバー、さくら、ロリポップ！など） | 基本的にサーバー会社が行う | お知らせを確認し、サポートが終わった古いバージョンを選んでいないか確認する |
| WordPress専用などのマネージド型サービス | 基本的にサービス提供会社が行う | お知らせを確認する |
| VPS・クラウド・自社サーバー | 利用者（または保守を任せている会社）が行う | OSの更新でPHPを最新にする。保守契約があれば担当に確認する |
| 制作会社の保守契約あり | 契約内容による | 保守の範囲にPHPの更新が入っているかを確認する |
10月21日には、エックスサーバーが予防的な安全対策として公式サイトと管理画面を一時停止し、さくらインターネットもレンタルサーバとVPSで緊急メンテナンスを行っています。エックスサーバーの対応については、エックスサーバーの管理画面停止の解説記事で整理しています。
今のうちにやっておく準備
更新と並行して進めたいのは、「どこでPHPを使っているかを把握する」「古いバージョンを使っていないか確かめる」「戻せる状態にしておく」の3つです。サーバー会社が更新してくれる場合も、ここは自社で確認します。
ステップ1｜PHPを使っているサイト・システムを書き出す
会社のホームページ、採用サイト、ネットショップ、キャンペーンサイト、社内システムなど、運用しているものを一覧にし、それぞれPHPを使っているかどうか、どのサーバーで動いているか、誰が管理しているかを書き出します。昔作ったまま放置しているサイトほど、古いPHPのまま残っていることが多いので、忘れずに入れます。
ステップ2｜それぞれのPHPのバージョンを確認する
共用レンタルサーバーなら、サーバーの管理画面のPHPのバージョン設定の画面で確認できます。WordPressならサイトヘルスでも確認できます。VPSや自社サーバーの場合は、管理している担当者や保守会社に確認します。
ステップ3｜サポートが終わったバージョンを使っていないか確かめる
PHPはバージョンごとにセキュリティの修正が受けられる期間が決まっており、期間が終わったバージョンには今回の修正版も出ません。PHP公式のサポート期間の一覧によると、2026年10月時点の状況は次のとおりです。
| バージョン | 状況（2026年10月時点） | セキュリティ修正の終了 |
|---|---|---|
| 8.5 | 通常のサポート中 | 2029年12月31日 |
| 8.4 | 通常のサポート中（2026年末まで） | 2028年12月31日 |
| 8.3 | セキュリティ修正のみ | 2027年12月31日 |
| 8.2 | セキュリティ修正のみ | 2026年12月31日 |
| 8.1以前・7.x・5.x | サポート終了 | 終了済み |
8.1以前には、PHP公式の修正版が出ません。サーバー会社やOSの提供元が独自の修正を出す場合もありますが、時間がかかったり対象外になったりするため、サポート中のバージョンへの切り替えを急ぎます。バージョンの選び方と切り替えの注意点は、PHPバージョンの基礎を解説した記事で紹介しています。
ステップ4｜バックアップを取っておく
PHPの更新やバージョンの切り替えのあとに、サイトの一部が動かなくなることがあります。すぐ元に戻せるよう、サイトのファイルとデータベースのバックアップを取っておきます。サーバー会社の自動バックアップがある場合も、いつの時点まで戻せるかを確認しておきます。
ステップ5｜誰が対応するかを決めておく
修正版が出たあと、サーバー会社のお知らせを確認する人、VPSの更新を行う人、更新後にサイトの表示を確かめる人を決めておきます。制作会社や保守会社に任せている場合は、連絡の窓口と、今回の対応が保守の範囲に入るかを先に聞いておくと、当日の行き違いを防げます。
修正版が出たあとにやること
修正版が出たら、まず正式な対象バージョンを確認し、自社の環境が当てはまるかを見ます。そのうえで、サーバーの種類に合わせて更新し、サイトが正しく動いているかを確かめます。
正式な対象バージョンとサーバー会社の案内を確認する
PHP公式の発表で、対象のバージョンと修正済みのバージョン番号を確認します。共用レンタルサーバーやマネージド型のサービスでは、サーバー会社が修正版を適用したかどうか、利用者に作業が必要かどうかがお知らせで案内されるはずなので、その内容に従います。
VPS・自社サーバーは更新を適用する
VPSや自社サーバーでは、OSの更新の仕組み（パッケージの更新）でPHPを最新にします。OSの種類によって修正版が届く時期が違うため、使っているOSの提供元の発表もあわせて確認します。更新したあとは、Webサーバーやphp-fpmなど、PHPを動かしている仕組みを再起動しないと反映されない場合があります。
更新後にサイトの動きを確かめる
トップページや主要なページの表示、問い合わせフォームの送信、WordPressの管理画面へのログイン、ネットショップなら注文までの流れを確認します。制作の現場では、更新のあとに「表示は問題ないのに、フォームのメールだけ届かなくなっていた」というケースをよく見かけます。見た目だけでなく、メールが届くところまで試してください。
よくある失敗と注意点
今回のような大きな脆弱性のときは、「何もしなくていい」と「慌てて触りすぎる」の両方が失敗につながります。
「レンタルサーバーだから関係ない」と決めつける
共用レンタルサーバーではPHP本体の更新はサーバー会社が行いますが、サポートが終わった古いバージョンを選んだままだと、修正版の対象にならない可能性があります。サーバー会社に任せる部分と、自社で確認する部分を分けて考えます。
不具合が出て、古いバージョンに戻したままにする
バージョンを上げたあとに表示が崩れると、元に戻したくなります。一時的に戻すのはやむを得ない場合もありますが、そのままにすると弱点が残り続けます。原因のテーマやプラグイン、プログラムを特定して直し、改めて上げる日程を決めておきます。
よくある質問
Q. すでに攻撃が出回っているのですか？
A. IPAは、10月21日時点で悪用された攻撃を確認しているわけではないとしています。一方、PHP公式はmod_phpで攻撃が成立する実証済みの手法があるとしており、詳細が公開された今は、攻撃が出回る前提で早めに更新することが大切です。
Q. 修正版はもう出ていますか？
A. はい。日本時間の2026年10月21日23時に、PHP 8.5.12・8.4.27・8.3.36・8.2.35が公開されました。8.1以前には公式の修正版はありません。
Q. WordPressのサイトは影響を受けますか？
A. はい、関係があります。WordPressはPHPで動いており、今回の弱点はWordPressのプログラムが動き出す前の段階で狙われるため、プラグインやWordPress本体を最新にしていても防げません。PHPそのものを修正版にする必要があります。
Q. 共用レンタルサーバーの場合、自分で何かする必要はありますか？
A. PHP本体の更新は基本的にサーバー会社が行います。利用者は、サーバー会社のお知らせを確認し、サポートが終わった古いPHPを選んでいないかを確かめてください。
Q. 自社サイトのPHPのバージョンはどこで分かりますか？
A. 共用レンタルサーバーなら管理画面のPHPのバージョン設定の画面、WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。分からない場合は、制作会社や保守会社に確認してください。
Q. 静的なHTMLだけのサイトでも関係がありますか？
A. ページがHTMLだけで、フォームなどもPHPを使っていなければ、PHPの脆弱性の直接の影響は受けにくいと考えられます。ただし、同じサーバーで別のPHPのサイトやフォームを動かしていないかは確認してください。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
