PHPの重大な脆弱性2件に対応する修正版が公開、速やかな更新を

2026年10月21日、PHPの開発チームは、重大な脆弱性2件に対応するセキュリティ修正版を公開しました。今回の脆弱性は、条件によっては認証されていない攻撃者によるリモートコード実行につながる可能性があります。

PHPは、WordPressをはじめ、多くのWebサイトやWebアプリケーションのサーバー側で利用されているプログラミング言語です。PHPを利用するWebサイトを運営している場合は、現在のPHPバージョンとサーバー事業者からの案内を確認し、適切な更新対応を進める必要があります。

発表された脆弱性の概要

今回、修正された脆弱性の識別番号は次の2件です。

• CVE-2026-109618
• CVE-2026-109619

PHP公式および英国の国家サイバーセキュリティセンター（NCSC）の情報によると、今回の問題は、PHP内部のメモリ管理に関係するものです。

メモリ不足への対応や、リクエスト処理に関連する内部状態の管理に問題があり、条件によってはメモリ破損が発生し、認証を必要としないリモートコード実行につながる可能性があります。

リモートコード実行とは、攻撃者が対象システム上で意図しないコードや命令を実行できてしまう状態を指します。実際に悪用された場合、サーバーやWebサイトの安全性に重大な影響を及ぼすおそれがあります。

今回の脆弱性はWordPressだけに限定されるものではありません。PHPを利用するWebサーバーやアプリケーションが対象となるため、WordPress以外のシステムも確認が必要です。

影響するPHP環境と修正版

PHP公式が公開した修正版は、次のとおりです。

PHPの系列	修正版
PHP 8.5系	8.5.12
PHP 8.4系	8.4.27
PHP 8.3系	8.3.36
PHP 8.2系	8.2.35

上記は、PHP公式が公開した各系列の修正版です。利用している環境に応じて、対応するバージョンを確認してください。

PHP公式は、PHPを利用するすべての利用者に対して、速やかな更新を強く推奨しています。また、完全な代替策はなく、更新が必要である旨を案内しています。

なお、PHP 8.1以前は、PHPプロジェクトによる通常のセキュリティ更新の対象外です。ただし、一部のLinuxディストリビューションや長期サポートを提供するベンダーでは、独自に修正を提供している場合があります。

古いPHPを利用している場合は、単に現在のバージョン番号だけで判断せず、サーバー事業者やOSの提供元が今回の脆弱性に対応しているか確認してください。今後も安全に運用できるよう、サポート対象バージョンへの移行も検討しましょう。

企業のWeb担当者・サイト管理者が確認すべきこと

今回の発表を受け、まずは次の項目を確認しましょう。

1. 現在のPHPバージョンを確認する

WordPressサイトの場合、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」から、PHPバージョンを確認できます。

レンタルサーバーを利用している場合は、サーバーの管理画面でも確認できることがあります。

複数のWebサイトやシステムを管理している場合は、それぞれの利用環境を確認してください。

2. サーバー事業者の案内を確認する

PHPの更新方法は、利用しているサーバーや運用形態によって異なります。

レンタルサーバーやマネージドサービスを利用している場合は、事業者が公開するセキュリティ情報やメンテナンス案内を確認しましょう。

自社でサーバーを管理している場合は、使用しているPHPの提供元やOSのパッケージ情報も確認し、適切な修正を適用してください。

3. 更新による影響を確認して適用する

PHPのバージョン変更は、Webサイトのプログラムやプラグイン、テーマなどの動作に影響する場合があります。

更新前には、必要に応じてバックアップを取得し、互換性や動作確認の手順を整理してください。そのうえで、利用環境に適した方法でセキュリティ修正を適用し、更新後にサイトの表示や主要機能を確認しましょう。

ただし、今回のような重大な脆弱性への対応を不必要に先送りすることは避け、事業者やシステム管理者と連携して速やかに対応することが重要です。

4. PHPを利用している関連システムも確認する

PHPはWebサイトだけでなく、各種ソフトウェア製品やネットワーク機器などの内部で利用されている場合もあります。

管理しているシステムのうち、PHPを利用していることが分かっているものについては、提供元のセキュリティ情報を確認しましょう。内部のPHP利用状況が分からない製品については、マニュアルやメーカーの案内を確認し、影響や対応策が公表された場合に対応できるようにしておくことが大切です。

脆弱性の公表と、実際の被害は別の問題

今回の脆弱性について、IPAの事前告知では、同機構が悪用した攻撃を確認しているわけではないと説明されていました。一方、英国NCSCは、対象となるシステムの特定や修正版の適用など、速やかな対策を推奨しています。

脆弱性が公表されたからといって、自社サイトがすでに攻撃を受けたことを意味するわけではありません。しかし、影響する環境を利用している場合は、被害の有無を推測するのではなく、まずバージョンや提供元の対応状況を確認し、必要な修正を適用することが重要です。

今回の発表を機に、PHPのバージョン管理やサーバー事業者からのセキュリティ情報の確認方法についても、社内で整理しておくとよいでしょう。

公式情報・参考リンク

• PHP公式：2026年のニュースアーカイブ
• PHP公式：セキュリティ勧告
• IPA：PHPのセキュリティリリース公開予定について（事前告知）
• 英国NCSC：Critical security issue affecting PHP

※本記事は、2026年10月22日時点で確認できた公開情報に基づいています。最新の修正状況や具体的な適用方法については、PHP公式および利用中のサーバー・製品の提供元が公開する情報をご確認ください。