PHPで認証なしの遠隔攻撃につながる脆弱性2件が判明
PHPの開発チームは10月21日（日本時間23時）、重大な脆弱性2件を修正したセキュリティリリースを公開しました。
PHPは、WordPressをはじめ、世界中のWebサイトの裏側で動いているプログラミング言語です。
対象は、CVE-2026-109618とCVE-2026-109619の2件です。
どちらも深刻度は、最大10のうち9.2（CVSS v4.0）と評価されています。
最大の特徴は、ログインしていない外部の人が、遠隔からプログラムを実行できてしまう恐れがあることです。
専門用語では「認証なしのリモートコード実行」と呼びます。
2件の内容は、おおむね次のとおりです。
- CVE-2026-109618：メモリ不足の処理中に、内部データが壊れる問題
- CVE-2026-109619：前の処理の情報が残り、解放済みの領域を使ってしまう問題
影響を受けるのは、PHP-FPMやApacheのmod_phpなど、Webからの要求を処理するPHP環境です。
なかでも、mod_phpは最も危険度が高いとされています。
サイト側のプログラムが動く前に、攻撃が成り立つ可能性があるためです。
公開の前倒しと流出の経緯
PHPチームは当初、10月22日に公開する予定でした。
ところが10月20日、CVE番号などの情報がネット上に流出しました。
そのため、公開を21日に前倒ししています。
修正済みのバージョンは、次の4つです。
| 系統 | 修正済みバージョン |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1以前はサポートが終了しています。
ただ、7.4・8.0・8.1については、深刻度を考慮して最小限の修正がソースコードの形で提供されました。
現在の状況（10月22日時点）
悪用の状況は、情報源によって表現が少し異なります。
- Cloudflare：公開前から、顧客を狙う攻撃を観測したと発表
- Rapid7：実際の被害は確認していないが、攻撃の試みの報告はある
- 概念実証コード：すでに複数が公開されているが、どの環境でも動くものは見当たらない
つまり、世界中で一斉に被害が出ている段階とは言えません。
一方で、攻撃コードが出回っている以上、警戒は必要です。
より広い環境で動く手法が出てくる可能性もあるためです。
国内では、10月21日の夜から、エックスサーバー、BASE、pixivなど多くのサービスが緊急メンテナンスに入りました。
さくらインターネットも、予防的な緊急メンテナンスを同日22時30分に開始しています。
同社は、22日8時15分時点で、対応が完了したサービスから順次再開したと案内しました。
また、22日14時の時点で、この脆弱性を悪用した不正アクセスや情報漏えいの被害は報告されていないとしています。
メンテナンスで止まったことは、被害が出たことを意味しません。
多くは予防的な措置です。
Cloudflareは、既知の攻撃経路を防ぐ保護ルールを、無料プランを含む全プランに展開しました。
ただし、これは応急的な防御で、PHPの更新の代わりにはなりません。
状況別の対応
では、自分は何をすればいいのか。
状況別に整理しました。
| あなたの状況 | 必要な対応 | 緊急度 |
|---|---|---|
| サービスを使うだけ | 基本的に不要 | 低 |
| レンタルサーバーでサイト運営 | 事業者の案内を確認 | 中 |
| VPSなど自前のサーバー | 自分でPHPを更新 | 高 |
一般ユーザーは特別な操作が不要
ECサイトやSNSなどを「使う側」の方は、現時点で特別な操作を求められていません。
サービス側が、すでに修正を進めているためです。
パスワードの変更なども、今回の件だけを理由に必要になるわけではありません。
気をつけたいのは、次の3点です。
- メンテナンス中は、無理にログインを繰り返さない
- 利用しているサービスの公式のお知らせを確認する
- 「脆弱性対応のため」とうたうメールのリンクは開かない
とくに3つめは大切です。
ニュースに便乗した偽メールは、大きな話題のたびに出回る傾向があります。
サイト運営者は事業者の案内を確認
WordPressなどでサイトを運営している方は、サーバー会社の案内を確認してください。
WordPress.orgは、WordPress本体の更新は必要なく、予定もないと案内しています。
直すのはPHP本体です。
PHPのバージョンは、管理画面の「ツール」から「サイトヘルス」を開き、「情報」の「サーバー」で見られます。
ただし、数字が古く見えても安全とは限りません。
配布元がバージョン番号を変えずに修正を入れる場合があるためです。
迷ったら、サーバー会社に「10月21日のPHPセキュリティリリースを適用済みか」と問い合わせるのが確実です。
自前でサーバーを持つ人はPHPの更新と再起動
VPSやクラウドで、自分でPHPを入れている方は、今日中の対応が必要です。
修正版へ更新したうえで、PHPを再起動し、全ての処理プロセスを入れ替えてください。
すぐに更新できない場合の応急策も出ていますが、あくまで時間稼ぎで、完全な対策ではありません。
詳しい設定は、各社の解説やPHP公式の告知を確認してください。
PHP 8.1以前の利用者は移行の検討を
サポートが終わった古いPHPを使っている場合は、8.2以降への移行を検討してください。
さくらインターネットも、サポート終了版には今後も新しい脆弱性が見つかる恐れがあるとして、最新のサポート対象バージョンへの変更を勧めています。
切り替えの前には、バックアップとテストを忘れずに行いましょう。
編集部の視点：静かに進んだ対応と見えにくい課題
今回は、流出をきっかけに公開が前倒しされたにもかかわらず、事業者が数時間で動いた点が印象的でした。
利用者の側から見れば、「気づいたら直っていた」に近い形です。
一方で、自分のサイトがどのPHPで動いているのかを把握していない運営者は、少なくないはずです。
今回を機に、一度確認しておくと安心です。
状況は日々変わります。
最新の情報は、PHP公式サイトやIPA、JPCERT/CCの発表も合わせて確認してください。
なお、本記事は10月22日時点の報道と事業者の発表をもとにしています。
参照元：PHP Security Release（gihyo.jp）
https://gihyo.jp/article/2026/10/php-critical-security-release
参照元：さくらインターネット「【重要】PHPの脆弱性に関する当社の対応状況について」
https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/
参照元：Rapid7「CVE-2026-109618 and CVE-2026-109619: Critical Unauthenticated Remote Code Execution in PHP」
https://www.rapid7.com/blog/post/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php/
参照元：Codeable「PHP Security Release on 21 October 2026: What WordPress Site Owners Need to Do」
https://www.codeable.io/blog/php-vulnerability-cve-2026-109618/
コメント