【緊急】PHPに重大なセキュリティ上の問題が発見されました

PHPとは？

PHP（ピーエイチピー）とは、Webサイトの裏側で働くプログラミング言語です。お問い合わせフォーム、会員ログイン、ネットショップ、予約システムなど、さまざまな機能で使われています。ブログやホームページを作る仕組みとして有名な WordPress（ワードプレス）も、PHPで動いています。

私たちがスマートフォンやパソコンでWebサイトを開くと、その裏側にある「サーバー」と呼ばれるコンピューターでPHPが動き、ページを作って送り返しています。

今回、何が起きたのか？

2026年10月21日、PHPの開発チームは、重大な脆弱性（ぜいじゃくせい：プログラムの中にある、悪用されるおそれのある弱点）を修正するセキュリティ更新を公開しました。対象は次の2件です。

• CVE-2026-109618
• CVE-2026-109619

※ CVE（シーブイイー）は、脆弱性ひとつひとつに付けられる世界共通の番号です。

PHP公式の発表では、2件とも深刻度の評価（CVSS v4.0：0〜10の数字で表し、大きいほど深刻）が 9.2 とされています。深刻度は「緊急（Critical）」です。

どちらも、PHPがメモリ（作業のための一時的な記憶場所）の後片付けをするときの不具合に関係しています。悪用されると、条件によっては、ログインなどの認証なしに、外部からサーバー上で不正なプログラムを実行される可能性があります。

欧州連合の機関のセキュリティ窓口（CERT-EU）は、攻撃の手口を試すプログラムが出回り始めていると報告しています。国内でも IPA（情報処理推進機構）と JPCERT/CC が注意を呼びかけています。

どんな被害が考えられるのか？

もし悪用された場合、たとえば次のような被害が起こる可能性があります。

今すぐ行うべきこと（Webサイトの運営者・システム担当者の方へ）

1. STEP 1PHPのバージョンと対応状況を確認する

   まず、ご自分のWebサイトがPHPを使っているか、使っているならどの版（バージョン）かを確認します。

   • レンタルサーバーの場合：サーバー会社の管理画面（「PHPバージョン設定」などの項目）で確認できることが多いです。
   • 制作会社に任せている場合：制作会社・保守会社に「PHPの版と、今回の修正版への対応状況」を問い合わせてください。
   • 管理画面で分からない場合：契約しているサーバー会社のサポート窓口に問い合わせてください。

   コマンドで表示される版と実際に動いている版の違いなど、確認のポイントは「自己点検の方法」にまとめています。

2. STEP 2更新の前にバックアップを取る

   更新の前に、データのバックアップ（予備のコピー）を取ってください。

   • Webサイトのファイル
   • データベース（会員情報や記事などを保存している場所）
   • サーバーやアプリの設定

   バックアップは「取っただけ」では不十分です。実際に元に戻せるか（復元できるか）も確認しておくと安心です。

3. STEP 3速やかに修正版へ更新する最優先

   2026年10月21日に公開された修正版は次のとおりです。この版、またはこれより新しい版へ更新してください。

   出典：PHP公式サイト（2026年10月24日確認）

   PHPの系統	修正版	セキュリティサポート終了
   PHP 8.5	8.5.12 以降	2029年12月31日
   PHP 8.4	8.4.27 以降	2028年12月31日
   PHP 8.3	8.3.36 以降	2027年12月31日
   PHP 8.2	8.2.35 以降	2026年12月31日
   PHP 8.1 以前	PHP公式の更新版リリースなし※	すでに終了

   • PHP 8.2 は 2026年12月31日でセキュリティサポートが終了する予定です。今回 8.2.35 に更新したうえで、早めに 8.3 以降への移行を計画してください。
   • PHP 8.1 以前はすでにサポートが終わっており、公式の修正版（新しい版番号）は出ていません。※PHP公式は今回に限り、自分でPHPを組み立てる人向けに最小限の修正を公開しているほか、一部のLinuxディストリビューションや長期サポート事業者が独自に修正を提供している場合があります。ただし根本的には、サポート期間内の新しい版へ移行してください。
   • Linux（Ubuntu・Red Hat系など）の標準パッケージでPHPを入れている場合：版番号が上の表と違っていても、配布元が修正を取り込んでいることがあります。配布元のセキュリティ情報で、今回の修正（CVE-2026-109618／CVE-2026-109619）が入った更新かどうかを確認してください。
   • このページの公開後に、さらに新しい修正版が出ることがあります。更新の前にPHP公式サイトで最新の版をご確認ください。

   すぐに更新できない場合（サーバー管理者向け）

   PHP公式のセキュリティ情報では、更新までの一時的な軽減策（例：session.upload_progress.enabled=0 の設定、受け付ける送信データの大きさの制限など）も案内されています。ただし公式も「完全な解決は更新だけ」としており、軽減策は一部の攻撃の道筋を減らすものにすぎません。公式の説明をよく確認したうえで実施し、できるだけ早く修正版へ更新してください。なお公式は、Apache の mod_php で動かしている環境を特に危険度が高いとしています。

4. STEP 4更新後の動作を確認する

   更新したら、次のような機能が今までどおり動くか確認します。

   • ホームページの表示
   • ログイン
   • お問い合わせフォーム
   • 予約機能・決済機能
   • 管理画面

   系統をまたぐ更新（例：8.1 → 8.3）では、古いプラグインなどが動かなくなることがあります。可能なら、本番と同じ環境の「検証用のサーバー」で先に試してから本番を更新してください。ただし、検証を理由に更新を長く先延ばしにしないでください。

5. STEP 5不正アクセスの兆候を調べ、監視を続ける

   サーバー管理者の方は、次の記録を確認してください。

   • アクセスログ（いつ・どこから・何にアクセスがあったかの記録）
   • エラーログ（プログラムの異常の記録）
   • 身に覚えのないファイルの追加や変更

   不審な点があれば、サーバー会社や専門家に相談してください。原因が分かる前にログを削除しないでください。調査の手がかりがなくなってしまいます。

   攻撃が疑われる場合は、必要に応じて、通信の遮断、証拠の保全、パスワードなど認証情報の変更を検討してください。

   更新が終わったあとも、アクセスの記録とPHP公式などの最新情報を定期的に確認し、監視を続けてください。

自己点検の方法（御社ご自身で確認するために）

上の5つの対策を進めるときに、見落としやすい点をまとめました。修正版の一覧は「STEP 3 速やかに修正版へ更新する」の表、対策の手順は「今すぐ行うべきこと」をご覧ください。この確認は、御社のサーバーで、御社ご自身が行うためのものです。作業はサーバー管理会社・制作会社と相談のうえで行ってください。

確認と対策の流れ

1. 対象を確認する（どの環境で、どのPHPが動いているか：下の1・2）
2. すぐに更新できない場合は、更新の前に暫定の制限をかける（下の3）
3. バックアップを取り、互換性を確認する（STEP 2）
4. 修正版へ更新し、ワーカーを再起動して反映を確認する（STEP 3・下の4）
5. 動作を確認し、その後も監視を続ける（STEP 4・STEP 5）

不審な痕跡が見つかった場合は、この流れのまま更新して終わりにせず、ログの保全と侵害の調査に切り替えてください。

1. 実際に動いているPHPのバージョンを確かめる

• レンタルサーバーでは、管理画面（コントロールパネル）の「PHPバージョン」欄で確認できます。
• コマンドが使える場合は php -v で表示できます。ただし、コマンドで表示されるPHPと、実際にWebサイトを動かしているPHPは違うことがあります。Webサイトは PHP-FPM・Apache のモジュール・コンテナなど、別のPHPで動いている場合があるため、実際に稼働している環境を管理者・サーバー提供会社に確認してください。
• 確認のために phpinfo() を表示するページを作って一般公開するのは避けてください（内部の情報が外部に見えてしまいます）。やむを得ず使った場合は、確認後すぐに削除してください。

2. 数字が古く見えても、対策済みの場合がある

• Linux ディストリビューション（RHEL・AlmaLinux・Ubuntu・Debian など）や一部のレンタルサーバーは、バージョンの数字を変えずに修正だけを取り込む（バックポート）ことがあります。
• パッケージで入れている場合は、提供元のセキュリティ告知で、今回のCVE（CVE-2026-109618／CVE-2026-109619）の修正が入ったパッケージの版を確かめ、実際に導入されているパッケージの版と照らし合わせてください。
• dnf updateinfo（RHEL系）や apt list --upgradable（Debian・Ubuntu系）は、この照合の補助です。apt list --upgradable は「更新できるもの」の一覧で、修正済みであることの証明にはなりません。何も表示されないことを「対策済み」と判断しないでください。
• 判断できないときは、提供元・管理会社に「CVE-2026-109618／CVE-2026-109619 への対応状況」を問い合わせてください。
• PHP 8.1 以前（8.1／8.0／7.4 など）は、通常の公式アップデートの提供が終わっています。今回に限り、PHP公式が 7.4・8.0・8.1 向けに最小限のソース修正を案内しています。提供元の修正状況を確認し、サポート中の系統への移行をご検討ください。

3. すぐに更新できないときの暫定の制限（更新の前に実施できます）

• 更新までの間、IP制限・認証などのアクセス制限で外部からの到達を絞ることができます。管理会社と相談のうえ、更新の準備と並行して行ってください。
• ただし、アクセス制限などの暫定措置は、更新の代わりにはなりません。できるだけ早く修正版へ更新してください。

4. 更新したら、ワーカーの再起動と反映の確認まで

• 修正版へ更新したら、PHP-FPM などのワーカーを再起動してください。再起動しないと、古いPHPが動き続けることがあります。
• そのうえで、実際に稼働しているバージョンと、サイトの動作をもう一度確認してください。

5. CVE-2026-115560 は別の問題として扱う

• 修正版への更新だけで、この問題も解消したとは扱わないでください（別の問題です）。
• PHP公式が次の通常リリースまで推奨している session.upload_progress.enabled=0 は、リクエストが処理される前に効くサーバー側の設定（php.ini や PHP-FPM のプール設定など）で変更してください。ini_set() などの実行時の変更や、PHP-FPM の .user.ini には頼らないでください。
• 設定の反映 → 対象のワーカーをすべて再起動 → 設定が実際に効いているかの確認までを、ひとまとまりの作業として行ってください。アップロードの進み具合の表示を使っている場合は、影響も確認してください。

PHPの利用状況や更新方法が不明な場合は、サーバー管理会社・ウェブサイト制作会社・サービス提供元へご確認ください。参照元：PHP公式・IPA 注意喚起（2026年10月24日確認）

私たちにできることは？（一般の利用者の方へ）

ただし、こうした話題が広まると、それに便乗した詐欺が増えることがあります。次の点に気をつけましょう。

• ① 不審なメールに注意「セキュリティ更新が必要です」などと装った偽メールが届くことがあります。
• ② 怪しいリンクを開かない公式サイトそっくりの偽サイトに注意。ブックマークや公式アプリから開きましょう。
• ③ パスワードの使い回しを避けるサービスごとに違うパスワードを使いましょう。
• ④ 多要素認証を利用するパスワードに加えて、スマホの確認コードなどでも本人確認する設定です。
• ⑤ 公式情報を確認するSNSの不確かな情報ではなく、公的機関や公式サイトの発表を参考にしましょう。

セキュリティ対策は、一度行えば終わりではありません。

今回のような問題は、これからも起こりえます。日ごろから次のことを続けておくと、いざというときに慌てずに済みます。

• 定期的なソフトウェア更新PHPだけでなく、OS、Webサーバー、WordPressなどのCMS、プラグインも更新を管理します。
• 自動バックアップトラブルが起きても元に戻せるよう、自動で定期的に保存します。
• 不正アクセス監視ふだんと違う通信やログインに気づける仕組みを用意します。
• 管理者アカウントの保護強いパスワードと多要素認証、必要な人だけに権限を与えます。
• 緊急時の対応計画問題が起きたとき、誰が何をするかを決めておきます。
• 定期的なセキュリティ点検使っているソフトや設定を、ときどき見直します。

よくある質問

公式情報へのリンク

このページは、次の公式情報をもとに作成しました（2026年10月24日に確認）。最新の情報は各公式サイトでご確認ください。

• PHP公式：Security advisory: Critical remote code execution vulnerabilities, update now2026年10月21日・英語・CVE-2026-109618／CVE-2026-109619 と一時的な軽減策
• PHP公式：ニュース一覧（2026年）各修正版の公開のお知らせ、10月23日の追加情報（CVE-2026-115560）・英語
• PHP公式：サポート中のバージョン各系統のサポート終了日・英語
• PHP公式サイト最新の版・英語
• IPA（独立行政法人情報処理推進機構）：PHPの脆弱性対策について2026年10月22日・日本語
• JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起2026年10月22日・日本語
• JVN（Japan Vulnerability Notes）：JVNVU#999055642026年10月23日・日本語
• CERT-EU：Security Advisory 2026-018 Critical Vulnerabilities in PHP2026年10月23日更新・英語

更新履歴

• 2026年10月24日　公開
• 2026年10月24日　60秒の解説動画を追加
• 2026年10月24日　監修を受けて更新：10月23日の追加情報に「いまできる対応」を追記／5つの対策の順番を本文・図・動画でそろえた／深刻度などの表現を調整／動画に「偽メールの例」の表示と音声の表記を追加
• 2026年10月25日　FAQ「古いPHPを使い続けると」に、EOL系統（7.4/8.0/8.1など）向けの最小限の修正・事業者による独自修正の案内を追記し、本文の表記とそろえました
• 2026年10月25日　監修を受けて「自己点検の方法」を追加（実際に動いているPHPの確かめ方・バックポート・ワーカーの再起動・CVE-2026-115560 の設定方法・暫定措置の位置づけ・痕跡がある場合の対応）
• 2026年10月25日　監修を受けて「自己点検の方法」を調整（確認と対策の流れ・既存の表と手順へのリンク・更新確認コマンドの説明・CVE-2026-115560 の設定方法）

このページは一般的な情報提供を目的としています。個別のシステムの安全性を保証するものではありません。対応についてお困りの場合は、ご利用のサーバー会社・制作会社、または専門家にご相談ください。