PHPが緊急の脆弱性2件を予告、修正版は日本時間10月21日23時に公開予定

PHPが緊急の脆弱性2件を予告、修正版は日本時間10月21日23時に公開予定 ITニュース

PHPのセキュリティチームが、緊急レベルの脆弱性2件を修正するセキュリティリリースを、2026年10月20日付の公式ニュースで予告しました。リリースは日本時間の10月21日（水）23時の予定で、WordPressのようにPHPで動くサイトを運営している人や、PHPのシステムを預かる情シスに関係します。出典はPHP.netの公式ニュースです。

PHPの緊急脆弱性、予告で分かっていること

結論から言うと、PHPは公開時に、すぐ更新できるよう今のうちに準備しておくのがおすすめです。公式の予告で書かれているのは、次の点です。

項目 内容
件数と深刻度 重大（critical）な脆弱性が2件。どちらもCVSS v4.0で9.2
リリース予定 2026年10月21日（水）14:00 UTC。日本時間では同日23:00
詳細の公開 詳細、影響を受けるバージョン、修正版のバージョンは、リリースと同時に公開
前倒しの可能性 脆弱性の詳細が外部に出たり、実際の悪用の証拠が出たりした場合は、予定より前にリリースすることがある
公式の呼びかけ すべてのPHPユーザーに、リリースされたらすぐ更新できるよう準備することを勧めている

つまり、今の時点では、どのバージョンが対象で、どこを直せばよいのかは公式から出ていません。分からない部分は、リリースを待って確かめる前提で動くことになります。

直近の通常のセキュリティリリースは、2026年9月24日の PHP 8.5.11 / 8.4.26 / 8.3.35 / 8.2.34 です。今回の修正版は、これらとは別のリリースになります。

PHPの脆弱性、二次情報で出ている話

公式の予告にはない情報が、事業者の解説や報道に出ています。ここから先は公式の発表ではなく、二次情報にもとづく話として読んでください。

  • GMO Flatt Securityの解説ブログは、CVE番号をCVE-2026-109618とCVE-2026-109619とし、どちらもCVSS v4.0で9.2としています
  • 同じ解説は、リモートコード実行につながるメモリ破壊の可能性があり、セッションのアップロード進捗機能（ext/session、既定で有効）が関係すると推測しています。これは推測で、公式には裏づけがありません
  • ITmediaの報道によると、CERT-EUがCVE-2026-109618と109619を割り当て、外部の情報ではPHP 5以降の全バージョンが影響を受ける可能性があります

CVE番号や影響範囲は、NVDやcve.orgなどの一次情報で確かめられていません。PHP公式がリリース時に出す詳細で、あらためて照らし合わせるのが確実です。

修正版が出る前にやっておきたいこと

準備の方向性は、公式の「すぐ更新できるようにしておく」と、Flatt Securityの解説にある準備項目が重なります。おすすめの順に並べます。

  1. PHPを使っているシステムを洗い出す: 自社サイト、WordPress、社内の業務アプリ、レンタルサーバー上のサイトまで含めて、どこでどのバージョンが動いているかを一覧にします
  2. 更新手順と動作確認の段取りを決める: 更新後に何を見れば「動いている」と言えるかを先に決めておきます。E2Eテストのような自動確認があれば、すぐ回せる状態にします
  3. 停止を伴う可能性に備える: 更新でサービスを止める場合の時間帯や、連絡先を決めておきます
  4. サーバーに置くデータと権限を減らす: サーバーに不要なデータを置かない、クラウドのIAMロールのような権限を最小にする、といった見直しです。万一侵入されても、被害を小さくできます
  5. ログが有効で、書き換えられない状態かを確かめる: あとから何が起きたかを追えるようにしておきます
  6. 公開されたらすぐ適用する: 日本時間23時以降に、php.netで修正版のバージョンと対象を確認してから更新します

自社でサーバーを持たず、レンタルサーバーを使っている場合は、サーバー事業者の対応告知を待つことになります。事業者の対応状況は、今のところ確認できていません。

暫定対策の話と、慎重に見たい点

Flatt Securityの解説は、修正版が出る前の暫定対策として、session.upload_progress.enabled=0 の設定を挙げています。ただし、完全に防げる保証はなく、事前にテストしたうえで使うよう書かれています。

; 二次情報で紹介されている暫定対策（効果は保証されていない）
session.upload_progress.enabled=0

これは公式の対策ではありません。設定を変えるとアップロード進捗を使う機能に影響することがあるので、本番に入れる前に検証環境で試すのがおすすめです。

また、ITmediaの報道では、CERT-EUが、すぐ更新できない場合はインターネットに公開しているアプリを外部ネットワークから切り離すことを検討するよう助言したと伝えています。止めると業務に響くので、どのサイトなら切り離せるかを、先に決めておくと慌てません。

現場で起きそうなこと

これは実際にあった話ではなく、ありがちな想定です。

「PHPの更新は、前にも難なく終わったし、公開されてからでいいか」と構えていて、いざ公開されると、どのサーバーに何のバージョンが入っているかを調べるところから始めることになる、という流れです。冷蔵庫に何が残っているか分からないまま、閉店間際に買い出しに走るようなものです。棚卸しは、修正版が出る前にやっておくと、当日の動きがぐっと楽になります。

修正版の公開後に確認したいこと

公開は日本時間の10月21日23時の予定ですが、前倒しの可能性もあります。php.netの公式ニュースとダウンロードページで、修正版のバージョンと対象範囲を確認し、自分の環境のバージョンと見比べてから更新してください。

2026年10月20日付のPHP公式ニュースと、2026年10月21日時点の二次情報にもとづく情報です。ほかのITの話題は、技術ネタの記事一覧からどうぞ。

ITもごはんも、腹八分目が長続きのコツ！

コメント