続報（10/22）：公開前からの攻撃観測や影響範囲がわかってきました。続報記事はこちら
昼に「PHPに緊急レベルの脆弱性2件」の速報を書きましたが、その修正版が公開されたと、PHP公式サイトの告知で発表されています。日本時間では10月21日の夜23時ごろに公開されたようです。
「PHPって何？」「うちのホームページは関係ある？」という方にもわかるように、ポイントだけ短くまとめます。内容は公式発表をもとにしていますが、正確な情報は必ず公式発表をご確認ください。
01｜何が発表された？
公式の発表によると、ポイントは次のとおりです。
- 修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35
- 修正された脆弱性は2件（CVE-2026-109618、CVE-2026-109619）。事前の告知では、どちらも深刻度（CVSS v4.0）9.2の「緊急」とされていました
- どちらも、ログインなどの認証なしで、外部からプログラムを実行されてしまう可能性があるとされています
- 公式は、すべてのPHP利用者にすぐ更新するよう強く呼びかけていて、更新することが唯一の完全な対策だとしています
2件の中身をざっくり言うと、こんなイメージです（正確な技術的説明は公式をご覧ください）。
- CVE-2026-109618：メモリが足りなくなったときの処理の途中で、内部のデータが中途半端な状態のまま扱われてしまう問題
- CVE-2026-109619：本来ならリクエスト（アクセス）ごとに片付けられるはずの内部の情報が残り、次のアクセスの処理で使われてしまう問題
02｜「リモートコード実行」ってなに？
今回の脆弱性は「リモートコード実行（RCE）」につながる可能性がある、とされています。
かんたんに言うと、インターネットの向こう側にいる誰かが、あなたのサーバーの上で好きなプログラムを動かせてしまうかもしれない、という状態です。サーバーの鍵を外から開けられてしまうようなもの、とイメージするとわかりやすいと思います。
もし悪用された場合、サイトの書き換え、お問い合わせ内容などのデータの持ち出し、ほかへの攻撃の踏み台にされる、といった被害につながる可能性があります。しかも今回はログイン不要とされているので、注意が必要そうです。
03｜自分のサイトは対象？見分け方
公式によると、対象はWebからのアクセスを受けて動いているPHP全般とされています（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど）。中でもmod_phpがもっとも危険度が高いと考えている、と書かれています。
専門用語は気にしなくて大丈夫です。事業者の方なら、まずはこんなところをチェックしてみてください。
- WordPressで作ったサイト：WordPressはPHPで動いているので、対象になる可能性が高いです
- レンタルサーバー（共用サーバー）に置いているサイトやお問い合わせフォーム：PHPで動いていることが多いです
- EC-CUBEなどのネットショップや、予約・会員システム：PHP製のものがあります
- 反対に、Wixなどのサービスの中で作ったサイトや、静的なページを配信するだけの構成では、運営側の仕組み次第です。気になる場合は提供元の案内をご確認ください
また、PHP 8.1以前の古いバージョンには、PHPプロジェクトからの正式な更新はもう提供されていないとされています（緊急性を考えて、7.4／8.0／8.1向けに最小限の修正も公開されてはいます）。PHP 8.2も2026年12月31日でサポート終了予定と発表されているので、古いバージョンのまま動いているサイトは、この機会に見直したほうがよさそうです。
04｜いますぐやること
- 制作会社や管理を頼んでいる会社に確認する：「今回のPHPの緊急修正版、うちのサイトは対象ですか？更新済みですか？」と聞くだけでOKです
- レンタルサーバーのお知らせを確認する：サーバー会社側で更新される場合もあれば、管理画面でPHPのバージョンを自分で切り替える必要がある場合もあります
- WordPressを自分で管理している場合：使っているPHPのバージョンを確認し、サーバーの案内に沿って更新を検討する。あわせてWordPress本体やプラグインも最新か見ておくと安心です
- 使っていない古いサイトやフォームは止める：放置されたものほど更新されずに残りがちです
公式には、すぐ更新できない場合に一時的に危険を減らす設定も載っていますが、「サイトを安全にするものではない」とはっきり書かれています。結局は更新するのが一番、ということのようです。
ちなみに僕たちが作っているサイトは、PHPを使わない構成を基本にしています。それでも、ほかの仕組みに問題が出ることはあるので、こうしたニュースが出るたびに確認するようにしています。
「うちのサイト、何で動いているかわからない」という方は、気軽に相談してください！