2026年10月21日、Webサイトの構築や運用に広く利用されているプログラミング言語「PHP」に、極めて重大なセキュリティ上の問題が発見され、緊急アップデートが公開されました。
今回発見されたのは、外部からの不正なアクセスによって、Webサーバー上で任意のプログラムを実行される可能性がある2件の脆弱性です。
PHPの開発チームは、この問題を最高レベルの深刻度「Critical」と評価し、利用者に対して直ちにアップデートするよう強く呼びかけました。
今回の問題は、なぜそれほど危険だったのでしょうか。
WordPressの問題ではなく、PHPそのものの問題
PHPは、WordPressをはじめ、世界中のさまざまなWebサイトやWebアプリケーションで利用されています。
通常、WordPressのセキュリティ問題というと、本体やプラグイン、テーマに発見された脆弱性を思い浮かべる方が多いかもしれません。
しかし、今回の問題はそれらとは根本的に異なります。
Webサイトを動かしているPHP自体に脆弱性が存在していたのです。
つまり、WordPressやプラグインをすべて最新版にしていても、サーバーで稼働しているPHPが脆弱なバージョンであれば、攻撃を受ける可能性があります。
これはWordPressに限った話ではなく、PHPを使用するWebアプリケーション全般に関係する問題です。
何が起こる可能性があったのか？
今回発見された脆弱性は、次の2件です。
- CVE-2026-109618：メモリ不足時の処理に起因する脆弱性
- CVE-2026-109619：解放済みメモリの不正な参照に起因する脆弱性
どちらも深刻度を示すCVSSスコアは9.2（10点満点）と評価されています。
技術的には、PHPがHTTPリクエストを処理する際のメモリ管理に問題があり、特定の条件で不正なメモリアクセスが発生するというものです。
攻撃が成立すると、次のような被害につながる可能性があります。
- Webサイトの改ざん
- サーバー内の情報や顧客データの漏洩
- 不正なプログラムの実行
- Webサイトやサービスの停止
さらに深刻なのは、攻撃者がログインする必要がないという点です。
特定のサーバー構成では、WordPressなどのアプリケーションが動作する前の段階で攻撃が成立することも実証されています。
もっとも、すべてのWebサイトが簡単に攻撃されるわけではありません。攻撃の成立には条件があり、サーバーの構成によって危険性は異なります。
それでも、認証を必要とせず、サーバー上で不正なコードを実行できる可能性が実証されていることから、極めて深刻な問題と判断されています。
なぜ今回は緊急対応が必要だったのか？
今回のアップデートが重要だった理由は、大きく3つあります。
1. 影響するWebサイトが非常に多い
PHPは世界中のWebサイトで広く使われています。
そのため、PHP本体に重大な問題が見つかった場合、特定のCMSやプラグインの脆弱性とは比較にならないほど広範囲へ影響が及ぶ可能性があります。
レンタルサーバー、VPS、クラウドサーバー、Dockerコンテナなど、PHPが動作している環境はいずれも確認の対象となりました。
2. 実際に攻撃を試みる通信が観測された
セキュリティサービスを提供するCloudflareは、今回の脆弱性を狙った攻撃通信を観測したと発表しています。
さらに、攻撃者がセキュリティ対策を回避するため、攻撃データの内容を変化させていることも報告されました。
つまり、今回の問題は単に「将来悪用されるかもしれない」という段階ではなく、実際に悪用を試みる動きが確認されていたのです。
ただし、攻撃通信が観測されたことと、攻撃による侵害が成功したことは同じではありません。
3. 一時的な対策では完全に防げない
今回の問題に対しては、CloudflareなどのWAF（Webアプリケーションへの攻撃を検知・遮断する仕組み）による防御策も提供されました。
しかし、WAFですべての攻撃を防止できるわけではありません。
PHPの開発チームも、設定変更などによる緩和策は完全な対策にはならず、修正版へのアップデートが必要であると説明しています。
Webサイトを守るためには、PHPそのものを修正する必要があったということです。
今回公開された修正版PHP
2026年10月21日に公開された修正版は、次のとおりです。
| PHP系列 | 修正済みバージョン |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1以前はPHP開発チームによる通常のセキュリティサポートが終了しているため、サーバー提供事業者による個別の修正対応などを確認する必要があります。
また、修正版の番号より古く表示されていても、サーバー提供事業者が修正プログラムを独自に適用している場合があります。
そのため、単純にPHPのバージョン番号だけで判断するのではなく、実際の修正適用状況を確認することも重要です。
アップデートは、PHPのバージョンを上げるだけでは終わらない
今回、弊社でも管理・運用するWebサイトやサーバー環境について、緊急の確認・アップデート対応を実施しました。
対応の中では、PHPの更新だけでなく、既存の設定ファイルやプラグイン、サーバー環境との互換性を確認する必要がありました。
特に、長年運用されてきたWebサイトでは、古いPHPの設定が残っていることで、新しいPHPとの間に問題が発生する場合があります。
また、Dockerなどのコンテナ環境では、管理システムをアップデートしても、その中で動いているPHPまで自動的に更新されるとは限りません。
セキュリティを確保するためには、アップデートの実施だけでなく、その後の動作確認まで含めた対応が必要です。
弊社では、主要な管理環境について更新と確認を進めており、対応は概ね完了しています。一部環境については引き続き確認・調整を行っています。
Webサイトは公開後の管理が重要
Webサイトのセキュリティ対策というと、WordPress本体やプラグインの更新、管理画面のパスワード管理などが注目されがちです。
もちろん、これらも重要です。
しかし今回の問題は、Webサイトを支えるサーバー環境そのものを適切に管理し続ける必要性を改めて示す出来事となりました。
Webサイトは、制作して公開すれば終わりではありません。
日々新たな脆弱性が発見され、ソフトウェアも更新されています。
安全で安定した運用を継続するためには、セキュリティ情報の収集、影響範囲の確認、適切なアップデート、そして動作検証を継続することが欠かせません。
エムティデザインでは、今後もWebサイトやサーバーに関するセキュリティ情報を注視し、お客様のWebサイトの安全性と安定稼働を支えてまいります。
