【🚨緊急】PHPに重大な脆弱性、今すぐ確認すべきこと【CVE-2026-109618/109619】

深夜にニュース速報が流れて、心当たりのある方は青ざめたのではないでしょうか。

「うちのサイト、PHPで動いているけど大丈夫かな」という不安、よくわかります。

この記事では、何が起きたのか、自社サイトは対象なのか、今すぐ何をすべきかを順番に解説します。

レンタルサーバーの方もVPSの方も、読み終えるころには次の一手が見えるはずです。

2026年10月21日の夜、PHP開発チームがCVSS 9.2（最も深刻な区分の「Critical」）の脆弱性2件を修正する緊急リリースを公開しました（出典: PHP公式）。該当するPHPを使っているWebサイトやシステムは、早急な対応が必要です。弊社でも公開当夜のうちに自社管理サーバーの状態を確認し、緩和策を当てたうえで修正版を適用しました。サーバーの確認を始めてから、修正版の適用と動作確認を終えるまで、約2時間でした。

PHPの脆弱性、結局何が起きた？今すぐやることは？

2026年10月21日、PHP開発チームが深刻な脆弱性2件（CVE-2026-109618／CVE-2026-109619）を修正する緊急リリースを公開しました。該当するPHPを使っている場合は、最新の修正版へのアップデートが急務です。前日の10月20日には、PHP公式サイトで緊急リリースの予告が出ていました（出典: PHP公式）。

対象になるのは、Webのリクエストを処理するすべてのPHP環境です。PHP-FPM、Apache＋mod_php、php-cgi、FrankenPHP、LiteSpeedなど、動かし方の種類を問いません。まずは下の表で、自社が使っているバージョン系統と修正版の対応を確認してください。

現在のバージョン系統	修正版	備考
PHP 8.5系	8.5.12	最新メジャーバージョン
PHP 8.4系	8.4.27	利用企業が多い安定版
PHP 8.3系	8.3.36	2026年時点でも広く稼働
PHP 8.2系	8.2.35	サポート終了が近いとされる
PHP 8.1以前	公式修正なし	ディストリビューションやLTSベンダーのバックポートに頼る必要あり

CVE-2026-109618／109619とは何が危ないのか

今回の2件は、どちらもPHP本体の内部処理に起因する欠陥で、悪用されるとリモートコード実行（RCE＝第三者が外部からサーバーに不正なプログラムを実行させられる状態）につながります。これはサイトの表示が乱れるといった軽微な話ではなく、サーバーの中身を自由に操作される可能性があるという意味で、深刻度が非常に高い部類です。

CVE-2026-109618（GHSA-w8hw-w9fx-j79w）は、メモリ不足が起きたときの処理に不備があります。内部のリクエストデータが一部しか初期化されないままPHPの処理が中断され、後続の処理がそれを正しいデータと勘違いして扱ってしまうことがある、という仕組みです。

CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）は、1つのリクエストに紐づく内部の状態が、処理が終わって解放されたはずなのに残ってしまい、同じワーカー（リクエストを処理する作業単位）が次に受けたリクエストがその残骸を使ってしまうという欠陥です。確認されている攻撃経路は session.upload_progress（アップロードの進捗を扱う機能）で、PHP 8.5では fatal_error_backtraces（致命的エラー時の詳細情報を記録する機能）も関係します。どちらもCVSS v4.0で9.2(Critical)という評価です。

自分のサイトは対象？PHP-FPM・mod_php・php-cgiの違い

結論から言うと、Webのリクエストを処理するすべてのPHPが対象です。動かし方による有利不利はあっても、「うちは別のやり方だから関係ない」ということにはなりません。

なかでもmod_php（ApacheにPHPを組み込んで動かす方式）は、PHP公式の告知で最も危険度が高いとされています。認証なしのリクエストで、アプリのコードが動く前に攻撃が始まる実証コードがあると説明されています。PHP-FPM（PHPをApacheやnginxと切り離して動かす方式）やphp-cgiも対象ですので、「自社はどの方式で動いているか」を制作会社やサーバー会社に確認しておくと安心です。

次に、実際に自社サイトのPHPバージョンをどう確認すればいいか、環境別に見ていきましょう。

自社サイトのPHPバージョンはどう確認する？

自社サイトがレンタルサーバーか自己管理サーバー（VPS・クラウド）かによって、確認方法も対応方法もまったく異なります。まずはどちらに該当するかを把握するところから始めてください。制作会社に任せきりで「どちらか分からない」という方も少なくありませんが、それ自体は珍しいことではありません。

環境	確認方法	対応方法	目安の対応者
レンタルサーバー（共用）	管理画面のPHPバージョン表示欄を見る	サーバー会社の更新を待つ、または管理画面で版を切り替える	自分でも可能
VPS・クラウド	`php -v` コマンドやphpinfo()で確認	OSの修正パッケージを適用し再起動	制作会社・保守担当者
制作会社に全委託	制作会社に問い合わせる	制作会社に対応状況を確認・依頼	制作会社

▼PHPバージョン確認チェックリスト

レンタルサーバーを使っている場合

レンタルサーバーを使っている場合、PHP本体のアップデート作業自体はサーバー会社側が担うのが一般的です。まずやるべきは、契約しているサーバー会社の告知ページを確認することです。

管理画面にログインし、「PHPバージョン」や「PHP設定」といったメニューから現在の版を確認してください。もし古い版（8.1以前）を手動で選択している状態なら、サイトの動作確認をしたうえで新しい版への切り替えを検討しましょう。実際、一部のレンタルサーバー事業者は緊急メンテナンスを実施・予告しており、各社が対応を進めている状況です。

VPS・クラウドで自分で管理している場合

VPSやクラウド環境では、自分でパッチを当てる作業が必要です。OSが配布している修正パッケージを適用し、php-fpm等のプロセスを再起動する、という流れになります。

例えばUbuntu 24.04では、php8.3の修正版（8.3.6-0ubuntu0.24.04.13）が提供されています（出典: Ubuntu Security Notices）。Dockerでコンテナ化している場合は、ベースイメージ自体を作り直す必要がある点も忘れずに。コンテナの中だけ`apt upgrade`しても、イメージの定義ファイル（Dockerfile）を更新しない限り、次のビルドで古い版に戻ってしまいます。

すぐに更新できない時の緩和策

どうしてもすぐに更新作業ができない場合は、公式が案内している緩和策を暫定的に当てておくことをおすすめします。ただし、これはあくまで時間稼ぎであり、根本対応にはなりません。

• session.upload_progress.enabled=0 を php.ini またはFPMのプール設定に記述し、全ワーカーを再起動する（ini_set関数や.user.iniでの設定は効果がありません）
• post_max_size を絞る（アップロード機能が不要なら8M、必要な場合でも32M程度に制限する）
• memory_limit=-1（メモリ使用量の上限を無制限にする設定）は一定の緩和にはなりますが、安全性を保証するものではありません
• error_reporting や display_errors の抑制（エラー表示を消す設定）は、今回の脆弱性の対策にはなりません

これらはあくまで応急処置です。落ち着いたタイミングで必ず正式な修正版への更新を進めてください。

【独自】弊社が実際にやったこと

公開当夜のうちに、弊社が管理するサーバーの状態を確認しました。レンタルサーバーで動いているものは、サーバー会社が更新する対象であることを確かめました。

自社で更新を担うサーバーでは、作業の前に設定とパッケージの控えを取りました。php.netの告知が出た直後に緩和策（session.upload_progressの無効化）を当て、Ubuntuの修正版が配布されたところでPHPを更新しています。更新の後は、サイトの各ページが更新前と同じように表示されることを確かめました。確認を始めてから更新と動作確認を終えるまで、約2時間です。

同じような不安を抱えている読者の方がいれば、ご相談いただければ確認・更新のお手伝いをいたします。いつもの問い合わせ導線からお気軽にどうぞ。

国内でも緊急対応が相次いでいます

今回の脆弱性は、すでに国内の複数のサービスで緊急対応を引き起こしています。「自分には関係ない話」ではなく、身近なサービスにも実際に影響が出ていることを押さえておきましょう。

2026年10月21日時点の報道によれば、複数の国内サービスが緊急メンテナンスを実施または予告したとされています。Web担当者であれば名前を聞いたことがあるであろうサービスも対応する見込みと報じられています（出典: Yahoo!ニュース）。関係機関も速やかな対応を呼びかけており、業界全体として緊張感のある対応が続いています。

「自社は小さい会社だから狙われない」というのは、残念ながら根拠のある安心材料にはなりません。攻撃の多くは機械的にスキャンされ、脆弱な版を自動検出する形で行われるため、規模の大小は関係ないケースが多いです。

今回の脆弱性と「よくあるPHPの脆弱性」は何が違う？

今回のCVE-2026-109618／109619は、PHP本体の処理そのものに起因する欠陥です。一方で、SQLインジェクションやクロスサイトスクリプティングといった、よく耳にするPHPの脆弱性は、アプリケーション側のコードの書き方に起因するものであり、性質がまったく異なります。

SQLインジェクション（入力値を悪用してデータベースを不正操作される脆弱性）などの対策は、IPAの「安全なWebサイトの作り方」のような開発者向けガイドで学べる内容です（出典: IPA）。これらは自社サイトを作ったエンジニアのコーディングの質によって左右される問題で、今回のようにPHP本体をアップデートすれば直るという話ではありません。

また、検索をしていると過去に公開されたphp-cgi関連の古い注意喚起がヒットすることがありますが、これらは今回の事案とは無関係の過去情報です。年号が古いニュースと最新の緊急リリースを混同しないよう、記事の公開日や対象バージョンを必ず確認する癖をつけてください。

PHPのサポート期限も要チェック

PHP 8.2のサポートは2026年12月31日までで、それ以前のPHP 8.1以前はすでに公式のセキュリティ修正提供が終了しています（出典: PHP公式）。今回の脆弱性対応をきっかけに、サポート期限そのものも見直しておくのがおすすめです。

バージョン	サポート状況の目安
PHP 8.5	現行の最新版、今後数年はサポート継続見込み
PHP 8.4	継続サポート中
PHP 8.3	継続サポート中
PHP 8.2	2026年12月31日までサポート
PHP 8.1以前	公式のセキュリティ修正提供なし

サポートが切れた版を使い続けると、今後新たな脆弱性が見つかっても修正が提供されません。今回のような緊急対応をきっかけに、計画的なバージョンアップのスケジュールを立てておくと安心です。ご自身での確認が難しい、あるいはVPS・クラウド環境で何から手を付けていいか分からない場合は、Web制作・SEO対策の専門家に確認を依頼するのも一つの方法です。

次に、読者の方からよく寄せられそうな疑問をQ&A形式でまとめます。

よくある質問（FAQ）

まとめ：まずは自社サイトのPHPバージョン確認から

2026年10月21日に公開されたPHPの緊急リリースは、CVSS 9.2という深刻度の脆弱性2件を修正するものでした。該当するのはWebのリクエストを処理するすべてのPHP環境で、修正版（8.5.12／8.4.27／8.3.36／8.2.35）への更新が急務です。

まずは自社サイトがレンタルサーバーなのか、VPS・クラウドなのかを把握し、現在のPHPバージョンを確認するところから始めてください。すぐに更新できない場合は、session.upload_progress.enabled=0の設定などの緩和策を暫定的に当てておくと安心です。

今回のような緊急のセキュリティ対応は、自社だけで抱え込まず専門家に相談するのが安心です。弊社ではWebサイトの制作・保守・SEO対策を通じて、こうした緊急時のサーバー対応のご相談も承っています。「うちのサイトは大丈夫かな」と少しでも気になった方は、Web制作・SEO対策のページをご覧いただくか、お気軽に無料相談からお問い合わせください。