続報：修正版が公開されました。続報記事はこちら
続報（10/22）：公開前からの攻撃観測や影響範囲がわかってきました。続報記事はこちら
PHPに「緊急」レベルの脆弱性が2件見つかり、修正版が日本時間10月21日（水）23時ごろに公開される予定だと、ITmedia NEWSが報じています。
この記事は速報として、報じられている内容と、作る側として「いまのうちにやっておくとよさそうなこと」を短くまとめたものです。状況は変わる可能性があるので、正確な情報は元記事や公式発表を必ずご確認ください。
01｜報じられている内容
ITmedia NEWSの記事やPHP公式サイトのお知らせによると、次のような内容とされています。
- PHPのセキュリティチームが、2件の重大な脆弱性を修正するアップデートを10月21日14時（UTC）、日本時間で同日23時に公開すると予告している
- 2件とも、CVSS（v4.0）で9.2と評価されている（9.0以上は「Critical／緊急」）
- 影響を受けるバージョンや修正版のバージョンなどの詳細は、公開と同時に明らかにされる予定
- 詳細が外部に漏れたり、悪用の証拠が見つかったりした場合は、予定より早く公開される可能性がある
また記事では、EU機関向けのセキュリティ組織CERT-EUも注意喚起を出しており、識別番号は「CVE-2026-109618」「CVE-2026-109619」とされていること、CERT-EUはリモートコード実行の恐れがあるとの見方を示し、PHP 5以降の全バージョンが影響を受ける懸念があるとしていることが紹介されています。
技術的な詳細はまだ公表されていないとされているので、「どのくらい危ないのか」は修正版の公開を待つ必要がありそうです。
02｜いまできる準備：まず「実はPHP」な場所を探す
記事によると、サーバ側の言語がわかっているWebサイトの約7割がPHPを使っているという調査もあるそうです。WordPressもPHPで動いています。
エンジニア目線で一番大事だと思うのは、「うちはPHPを使っていないはず」をいったん疑うことです。メインのシステムがPHPでなくても、こんなところで動いていることがあります。
- 会社やお店のWordPressサイト、昔作ったキャンペーン用のLP
- レンタルサーバーに置いたままのお問い合わせフォーム
- phpMyAdminなどの管理ツール、社内向けの古いツール
- Dockerイメージやサーバーに入っているPHP（直接使っていなくても）
修正版が出たときにすぐ動けるように、今のうちにこんな準備をしておくとよさそうです。
- 一覧を作る：PHPが動いている場所、バージョン、誰が更新できるか
- 更新の手順を確認する：自分で上げるのか、レンタルサーバーや制作会社の対応を待つのか
- 使っていないものは止める：放置されたサイトやツールは、この機会に閉じるのも一つの手
- すぐ更新できない場合：CERT-EUは、修正を適用するまで外部に公開しているアプリケーションをネットワークから切り離すことも検討するよう求めている、と報じられています
ちなみに僕たちの自社サービスとこのサイトは、PHPではない構成で動いています。それでも「本当にどこにもないか」は、今回あらためて確認するつもりです。
03｜まとめ
現時点では詳細が出ていないので、慌てて何かを変えるより、「どこでPHPが動いているか」をすぐ答えられる状態にしておくのが一番効く準備だと思います。
修正版の内容や対象バージョンは、公開後に公式発表で確認してください。続報が出たら、必要に応じてこの記事も更新するかもしれません。
自社サイトやフォームのPHPまわりで不安なことがあれば、気軽に相談してください！