ADVISORY / PHP 2026.10
PHPの重大な脆弱性(2026年10月)で、まず確かめる5つのこと。
開発元(PHP)と JPCERT/CC の発表をもとに、中小企業がまず確かめることをまとめました。内容は 2026年11月4日 時点のものです。
WHAT HAPPENED ── 何が起きたか
開発元は「すぐに更新を」としています。
2026年10月21日、PHP の開発元が、重大な脆弱性2件(CVE-2026-109618、CVE-2026-109619)を直した版を公開しました。ログインしていない第三者が、外からサーバー上でプログラムを動かせるおそれがあるもので、深刻度は CVSS v4.0 で 9.2 とされています。
開発元はすべての利用者にすぐ更新するよう強く勧め、更新以外に完全な対策はないとしています。更新までの間に被害を減らす方法も案内していますが、それで安全になるわけではないとしています。
- PHP の開発元が、重大な脆弱性2件を直す版を翌日に出すと予告
- 直した版(8.5.12 / 8.4.27 / 8.3.36 / 8.2.35)を公開。開発元は、すぐに更新するよう強く勧めた
- JPCERT/CC が注意喚起を公開
- 開発元が、別の設定の組み合わせで起こりうる問題(CVE-2026-115560)について案内を公開
- JPCERT/CC が注意喚起を更新。海外で、この脆弱性を使った侵害の報告があったと追記
JPCERT/CC の注意喚起は、国内で広く使われている製品だとしています。国内で侵害が確認されたかどうかは、この注意喚起には書かれていません。
FIVE CHECKS ── 確かめること
上から順に確かめてください。
CHECK 01
PHP で動いているものを一覧にする
ホームページ、問い合わせフォーム、予約や会員のページ、社内のシステムなど、外から触れるものを書き出します。CMS(更新画面からページを作れる仕組み)にも、PHP で動くものがあります。
それぞれについて、契約しているサーバー会社、作った会社、管理画面の ID を誰が持っているかも書いておくと、このあとの確認が早くなります。
CHECK 02
それぞれの PHP の版を確かめる
直した版は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。同じ系列でこれより前の版は、更新が必要です。
版は、サーバー会社の管理画面で見られる場合があります。分からないときは、サーバー会社か作った会社に「PHP の版と、今回の脆弱性への対応」を問い合わせてください。
CHECK 03
サーバー会社・作った会社の対応を確かめる
サーバー会社のお知らせで、今回の件への対応状況を確かめます。PHP の版を自社の管理画面で選ぶ契約の場合は、自社で切り替えが必要なことがあります。
機器や製品に組み込まれた PHP、Linux の配布元が配っている PHP も影響を受ける場合があります。その場合は、製品の会社や配布元の情報を確かめます(JPCERT/CC)。
CHECK 04
PHP 8.1 以前なら、移る計画を立てる
PHP 8.1 以前は、開発元の更新が終わっていて、今回の版は出ていません。開発元は、更新が続いている版に移ることを勧めています。
PHP 8.2 も、2026年12月31日で更新が終わる予定です。古い版でしか動かないシステムは、版を上げると動かなくなることがあるので、作り直しを含めて計画を立てます。
CHECK 05
侵害の痕跡がないかを確かめる
JPCERT/CC は、次のような点を確かめるよう案内しています。ただし、どれにも当てはまらなくても、攻撃を受けていないとは言い切れないとしています。
- ・過去の応答に含まれる PHPSESSID(セッションの番号)が、不自然に長い、または形がおかしい
- ・画像やファイルを送る形式(multipart/form-data)の怪しい通信があり、その前後に PHP のメモリ不足のエラーや、500 番のエラーが出ている
- ・PHP の処理を受け持つプロセスが、予期せず止まったり、何度も再起動したりしている
- ・見覚えのないプログラムの実行、外部への見慣れない通信、見覚えのないファイルの作成
疑わしいときは、記録(ログ)を消さずに残し、影響の範囲を調べて、システムを切り離します。個人情報が漏れたおそれがある場合は、個人情報保護委員会への報告が必要になることがあります。
ALSO ── あわせて
設定で防ぐよう案内されている点。
開発元は10月23日、特定の設定とプログラムの組み合わせでだけ起こりうる別の問題(CVE-2026-115560)について、次の定期の更新まで session.upload_progress.enabled=0 にするよう勧めています。JPCERT/CC は、この設定のあとに PHP の処理を受け持つプロセスをすべて再起動するよう案内しています。
サーバー会社の共用サーバーでは、この設定を自社で変えられない場合があります。サーバー会社のお知らせを確かめてください。
SOURCES ── 出典
このページのもとにした発表。
このページは、発表の内容を分かりやすくまとめたものです。新しい情報が出ている場合があるため、対応の前に出典を確かめてください。自社だけで確かめるのが難しい場合は、ご相談ください。
REQUEST ── ご相談
まずは、何で動いているかを確かめましょう。
ご相談は無料です。詳しい方が社内にいなくても大丈夫です。分かる範囲で今の状況を伺い、急ぐものから順にお伝えします。
STEP 1
今の状況を伺う
サイトやシステムの一覧、作った会社、契約しているサーバー会社など、分かる範囲で教えてください。
STEP 2
何で動いているかを確かめる
許可をいただいた範囲で、外から見える情報と管理画面を確かめます。
STEP 3
優先順位をお伝えする
急ぐもの、計画を立てればよいものに分けてお伝えします。進めるかどうかは、そのあとでご判断ください。
受付は平日 9:00〜18:00。2営業日以内にご返信します。 ご希望があれば、作業の前に秘密保持契約(NDA)を結びます。