PHPの重大な脆弱性に関する弊社の対応について
2026年10月20日、プログラミング言語「PHP」について、認証なしにサーバー上でプログラムを実行されるおそれのある重大なセキュリティ上の問題（脆弱性2件）が、開発元 The PHP Group より発表されました。国内の情報セキュリティ機関であるIPA（情報処理推進機構）からも注意喚起が公表されています。
弊社にて管理・運用を承っているウェブサイトにつきましては、対応予定日までにPHPの更新と動作確認を実施し、結果をご報告いたします。
経緯の概要
今回発表された脆弱性は2件（CVE-2026-109618、CVE-2026-109619）で、いずれも深刻度「Critical」（CVSS v4.0 9.2）に分類されるものです。経緯は以下のとおりです。
- 10月20日：開発元 The PHP Group が、重大な脆弱性2件への緊急セキュリティリリースを予告
- 10月21日：修正版（PHP 8.5.12／8.4.27／8.3.36／8.2.35）がリリースされ、IPAも注意喚起を公表
- 10月21日：修正版のリリース前に攻撃が観測されたとする報告もあり、悪用のおそれが指摘されています
影響と対象
当該問題は、WordPress・EC-CUBE等のCMSを含む、PHPで構築されたウェブサイトに影響し得るものです。サイトのプログラム自体に問題がなくても、PHPそのものの脆弱性により影響を受ける可能性があります。
修正バージョン
開発元より、2026年10月21日（水）23:00（日本時間）に公開されることが予告されています。
（10月22日 午前2:00現在の確認）
PHP 8.5 8.5.12
PHP 8.4 8.4.27
PHP 8.3 8.3.36
PHP 8.2 8.2.35
本件は、PHPを利用する多くのサービスやウェブサイトに共通する脆弱性であり、独立行政法人情報処理推進機構（IPA）からも事前準備を呼びかける注意喚起が出ております。
弊社の対応
弊社でサーバーを管理しているサイト サーバーのPHPバージョンを確認し、修正版未満の場合は更新作業を実施します。
お客様ご契約のレンタルサーバー上のサイト ご利用サーバーのPHPバージョンを代行確認し、更新が必要な場合はご契約サーバー上で更新作業を実施します。
共通 更新後、主要ページの動作確認を実施し、対象サイトごとに対応状況をご報告します。
対応予定日：2026年10月26日（月）までに対応完了予定
※作業の進捗により予定が前後する場合は、改めてご連絡いたします。
お客様へのお願い
お客様ご自身でサーバーをご契約・管理されている場合
ご利用サーバーのPHPバージョンをご確認のうえ、上記修正版以降への更新をお願いいたします。ご契約のレンタルサーバー事業者からご案内が配信されている場合がありますので、事業者のアナウンスもあわせてご確認ください。
PHP 8.1以前をご利用の場合
公式サポートが終了したバージョンでは正式な修正が提供されません。サポート対象バージョンへの移行をご検討ください。移行のご相談・お見積りは下記までお気軽にお問い合わせください。
サイトに不審な挙動・改変がございましたら：お手数ですが、下記連絡先までご連絡ください。
参考情報（公式発表）
IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
PHP開発元 The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」
お問い合わせ
info@vcre8.jp