22.10.2026
PHP に存在する２つの重大な脆弱性について開発元であるThe PHP Groupが２０２６年１０月２１日にセキュリティアップデートを公開した。今回確認された脆弱性は以下の２件。
- CVE-2026-109618
- CVE-2026-109619
いずれも深刻度を示すCVSSv4.0のスコアは9.2(緊急)と評価されている。これらの脆弱性が悪用された場合、認証されていない第三者によってサーバー上で任意のコードが実行される「リモートコード実行(RCE)」につながるおそれがある。CVE-2026-109618はメモリ不足が発生した際の不適切な内部状態の処理に起因する脆弱性である。一方、CVE-2026-109619は、解放済みのメモリを参照する内部状態が残存することに起因する脆弱性とされている。特にApacheのmod_phpを利用する環境ではアプリケーションの処理が始まる前に攻撃が成立することが実証されており、注意が必要だ。IPA(情報処理推進機構)は、１０月２１日に公開した注意喚起において当該脆弱性を悪用した攻撃を確認しているわけではないとしながらも、修正プログラムの公開後、速やかに適用できるよう事前準備を呼びかけていた。
IPAによるとPHPはWordPressや企業のWebシステムなどで広く使用されるほか、ウェブアプリケーションだけでなくソフトウェア製品やネットワーク機器などの内部でも利用されている場合がある。こうした製品や機器のPHPの利用状況は、利用者自身では把握が難しい場合があるため、製品のマニュアルや開発元・提供元が公開するセキュリティ情報などを確認するよう呼びかけている。
その後The PHP Groupは同日脆弱性を修正した以下のバージョンを公開した。
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
The PHP Groupは利用者に対して速やかなアップデートを強く推奨している。
IPAは２０２４年７月にもPHPの脆弱性を悪用した攻撃について注意喚起を行っており、今回も同様に悪用される可能性があることから予防的に注意喚起を行っている。
PHPを利用する企業やWebサイトの運営者は、自社システムのPHPのバージョンや利用状況を確認するとともに、影響を受けるシステムを特定し、速やかにセキュリティアップデートを適用することが重要である。
参考情報・出典
- IPA（独立行政法人 情報処理推進機構）
「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
公開日：2026年10月21日
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html - The PHP Group（PHP公式サイト）
「Security advisory: Critical remote code execution vulnerabilities, update now」
公開日：2026年10月21日
https://www.php.net/archive/2026.php#2026-10-21-5