2026.10.22
PHPにサーバー遠隔操作の脆弱性、今すぐ更新を
2026年10月21日（UTC）、The PHP Group はサポート対象の各バージョンに向けたセキュリティリリースを公開しました。今回のリリースでは、2件の致命的な脆弱性について対処しており、修正版として PHP 8.5.12、PHP 8.4.27、PHP 8.3.36、PHP 8.2.35 が公開されています。修正前のバージョンを稼働させている広範囲のWebサーバーやシステムに影響が及ぶ可能性があります。
どちらの脆弱性も、悪用された場合、ログインなどの認証なく外部からサーバー上でプログラムを実行される（リモートコード実行）恐れがあります。深刻度を示すCVSS v4.0のスコアは2件とも9.2です。
WebサイトやWebのシステムでPHPを使っていれば、実行方式を問わず影響を受けるとのことです。なかでも、PHPをWebサーバーに直接組み込む「mod_php」方式では、アプリケーションコードが実行される前段階で攻撃が成立することが実証されており、特に注意が必要だとされています。
CVE番号 | 不具合の内容 | 深刻度（CVSS v4.0） | 悪用された場合 |
|---|---|---|---|
CVE-2026-109618 | メモリ不足時に、処理が中途半端な状態で止まり、壊れたデータを有効なデータとして扱ってしまう | 9.2 | 認証なしでリモートコード実行 |
CVE-2026-109619 | 前のリクエストで使った情報が残り、次のリクエストがその古い情報を使ってしまう | 9.2 | 認証なしでリモートコード実行 |
Security advisory: Critical remote code execution vulnerabilities, update now｜The PHP Group
www.php.net
企業向けのアドバイス
- 自社のWebサイトやシステムで動いているPHPのバージョンを確認し、修正版にアップデートしましょう。
- すぐに更新できない場合は、開発チームが示している設定変更で攻撃の経路を減らしつつ、早めにアップデートしましょう。
- PHP 8.1 以前はサポートが終了し、8.2 も2026年末に終了するため、修正状況を確認し、サポート中のバージョンへの移行を進めましょう。
掲載されているアドバイスはあくまで参考情報です。サイトのご利用にあたってをご覧のうえ、ご活用ください。
執筆者
サイバーセキュリティラボ 編集部
サイバーセキュリティラボとは、中堅・中小企業がセキュリティの課題を理解し適切な対応をとれるよう支援するため、USEN＆U-NEXT GROUPのUSEN ICT Solutionsに設立された情報発信の組織です。サイバーセキュリティラボ 編集部には、セキュリティエンジニアやネットワークエンジニア、セキュリティサービスを販売するセールスなど、さまざまなメンバーが在籍しています。
