PHP に重大な脆弱性 2 件（修正版が公開されました）
- ひとことで言うと：『鍵をかけていなくても、外から勝手に入られて、何でもされてしまう』ほど重大な欠陥が2つ見つかりました。直す修正版（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）はもう公開されています。該当する版を使っているなら、できるだけ早く更新してください。
- 完全に安全にする方法は「更新する」以外にありません。更新がすぐできない場合の一時的な和らげ方もありますが、公式は「それだけでは安全にならない」と言っています。
- PHP 8.1 以前を使っているなら、PHP 開発チームからの修正版はもう出ません。新しい版へ移る必要があります。むずかしい言葉が並んでいても大丈夫です。「自分に関係あるか」だけ下の表で確認してください。
時系列
- 2026-10-20
PHP の開発チームが、重大な脆弱性 2 件（いずれも CVSS v4.0 で 9.2）を直す修正版を予告。
出典: PHP.net ニュース「Upcoming Critical PHP Security Release」(2026-10-20) - 2026-10-21
IPA が注意喚起を公開。CVE-2026-109618 と CVE-2026-109619 に言及。
出典: IPA 注意喚起 (2026-10-21) - 2026-10-21 23:00 JST
修正版 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 を公開。「認証なしのリモートコード実行につながりうる」として、全利用者に即時更新を呼びかけ。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)
分かっていること（確定）
修正版は PHP 8.5.12・8.4.27・8.3.36・8.2.35 の 4 つです。予告どおり、2026 年 10 月 21 日（日本時間の夜）に公開されました。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)見つかった欠陥は 2 つ（CVE-2026-109618、CVE-2026-109619）。どちらも危険度のものさし（CVSS）で 9.2 という、とても高い点数です。鍵をかけていなくても、外から勝手にプログラムを実行されてしまう（RCE）おそれがあります。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)影響を受けるのは、8.5 系なら 8.5.12 より前、8.4 系なら 8.4.27 より前、8.3 系なら 8.3.36 より前、8.2 系なら 8.2.35 より前の版です。ウェブサイトを動かすほとんどの使い方（PHP-FPM・mod_php・php-cgi など）が対象で、公式は「mod_php という動かし方が一番危険」としています。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)PHP 8.1 以前は、PHP 開発チーム自身による修正版の提供が終わっています（サポート終了＝EOL）。使っているサーバー会社が独自に直している場合もあるので、新しい版へ上げるか、サーバー会社に確認してください。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)公式は「完全な対策は更新だけ」としています。更新がすぐできない場合の一時的な和らげ方（設定を一部制限するなど）も示していますが、「それだけでは安全にはならない」と明記しています。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)公式は、mod_php という動かし方では、ログインなどの確認をする前の段階で攻撃できてしまう手口が、すでに実際に確認されている（実証済み）としています。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)Linux の配布元や長期サポート事業者には、修正が前もって渡されています。使っている人は、各事業者が出す更新パッケージを確認してください。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)IPA（情報処理推進機構）のおすすめは、自分の組織や使っている製品が PHP にどこで依存しているかを書き出し（棚卸し）、公式発表を確認して適用することです。
出典: IPA 注意喚起 (2026-10-21)
まだ分からないこと（未確定）
- 実際にこの欠陥を使った攻撃（悪用）が、もう起きているかどうか。公式の告知はこの点に触れていません。確認できたら、ここに追記します。
自分に関係ある？
- 医療
- 院内の Web システム（グループウェア・予約・NAS の Web 機能など）に PHP が使われていれば関係します。ベンダー製品の中の PHP も対象です。
- 教育
- 授業支援（LMS）・校務系・学校のホームページが PHP 製なら関係します。レンタルサーバー上のサイトも含みます。
- IT
- PHP を動かしているサーバー、PHP に依存する製品・ライブラリを運用していれば関係します。
✅ 立場別・今やること
個人
- 使っているサービス（保育園向け連絡アプリ・EC サイト作成サービス・ブログなど）の運営元のお知らせを確認する。
- 自分で入れた WordPress などがあれば、管理画面で PHP の版を確認する。
学校の担当
- LMS・校務系・ホームページで使っている PHP の版を棚卸しする。
- 該当する版なら、今日中に更新する。
- 更新できない 8.1 以前は、停止するか移行するかを判断する。
- 更新後に動作を確認する。
- 更新前に不正アクセスされた痕跡がないか（ファイルの変更日時・見覚えのない管理者・見覚えのないファイル）を確認する。
病院の担当
- 院内 Web・ベンダー製品が PHP に依存していないか、ベンダーに確認する。
- 適用した日を記録する（医療情報システム安全管理ガイドラインの「脆弱性対応」の記録）。
- 外部に公開している面を最小にする。
開発者・運用者
- `php -v` で使用中の版を確認する。
- 該当する版なら、すぐ更新する。
- 更新後に動作を検証する。
- 公開前から攻撃が実証されていたため、更新前に侵害されていないか（ログ・ファイルの改変・不審なプロセス）を確認する。
- 外部からの攻撃を防ぐ仕組み（WAF）と、ログの監視を強める。
よくある誤解と訂正
よくある言い方: 「共用レンタルサーバーなら、何もしなくていい。」
事業者が適用するのか、利用者が PHP の版を切り替える契約なのかは事業者によって違います。事業者の案内で確認してください。
出典: IPA 注意喚起 (2026-10-21)よくある言い方: 「PHP 8.3 以上なら安全。」
8.3.36 未満は影響を受けます。8.4 系・8.5 系も同じで、版の系列ではなく、修正版かどうかで判断してください。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)よくある言い方: 「バックアップがあれば大丈夫。」
バックアップは壊れたあとの復旧に役立ちますが、攻撃や情報の流出そのものは防げません。更新が必要です。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)よくある言い方: 「更新したら終わり。」
更新前に、すでに侵入されていないかの確認も必要です。公式は mod_php で攻撃が実証済みとしており、修正版の公開前に攻撃が試された可能性は否定できません。
出典: PHP.net セキュリティ告知「Critical remote code execution vulnerabilities, update now」(2026-10-21)🔰 用語
- RCE（リモートコード実行）
- 鍵をかけていなくても、外から他人のコンピューターで好きなプログラムを動かされてしまうこと。
- CVSS
- 脆弱性の危険度を 0〜10 点で表す、世界共通のものさし。9 点以上はとても危険。
- CVE
- 脆弱性につける世界共通の背番号。同じ問題を、みんなが同じ名前で呼べる。
- mod_php・PHP-FPM・php-cgi
- どれもウェブサイトで PHP を動かすときのやり方の種類。名前は違っても「PHP の動かし方」という点は同じ。
- 共用レンタルサーバー
- ほかの人と 1 台のコンピューターを借り分けて、ホームページを置くサービス。
- パッチ
- ソフトの欠陥を直すための修正プログラム。
- 棚卸し
- 自分の組織で、何のソフトがどこで動いているかを全部書き出すこと。
- EOL（サポート終了）
- 作った側が、もう修正版を出さないと決めた状態。欠陥が見つかっても直してもらえないので、新しい版へ移る必要がある。
- 侵害痕跡
- 誰かに入り込まれたあとに残る手がかり。見覚えのないファイル・管理者アカウント・ログの不審な記録など。
- 軽減策（緩和策）
- 完全に直すわけではないが、危険を少し減らすための一時的な対処。「安全になった」わけではない。
一次情報
この情報は一次情報の要約で、法的助言ではありません。所属組織のルールと担当者の指示を優先してください。
🧭 つぎはどこへ？
ぜんぶ無料・ログイン不要。気が向いたところからどうぞ。