2026年10月21日、PHPの開発チームが重大な脆弱性2件を公表し、修正版を公開しました。この脆弱性はPHPそのものにあるため、WordPressなどの本体やプラグインを新しくするだけでは直りません。
ご自分で確かめられないときは、サーバーの提供元や、サイトを作った制作会社・保守の担当に確認してください。
この内容は、IRISの代表がYouTubeの動画とnoteでも解説しています。
PHPの重大な脆弱性について（IRISの代表による解説）再生ボタンを押すと、YouTube から動画を読み込み、IPアドレスなどの情報が Google LLC に送られます。詳しくはプライバシーポリシーをご覧ください。
経緯や、脆弱性を見つけたのがAIだったことの意味は、noteの解説記事でも読めます。
PHPは、ウェブサイトの裏側（サーバー）で動くプログラムの言語です。お問い合わせフォームの送信や、ブログの記事の表示など、見る人や操作によって中身が変わるページを作るのに使われます。
WordPressなど、ブログやホームページを作る多くの仕組みもPHPで動いています。
公開されている調査では、サーバー側の言語が分かるウェブサイトのうち、約7割がPHPを使っているとされています（2026年10月時点）。
この記事は、2026年10月22日時点の公式の発表をもとにしています。その後に新しい情報が出ていることがあるため、公式の発表もあわせて確かめてください。
2026年10月20日にPHPの開発チームが重大な修正版の公開を予告し、10月21日（日本時間では21日の夜）に修正版を公開しました。
国内でも、国の機関やIPA、JPCERT/CCが、ウェブサイトやウェブのシステムを運営する事業者に向けて、修正版を速やかに当てるよう呼びかけています。対象はサーバーで動くPHPなので、サイトを見るだけの方が、ご自分のパソコンやスマートフォンで対応することは通常ありません。
公式の発表によると、悪用されると、ログインしていない外部の第三者に、サーバーの上でプログラムを動かされるおそれがあります。その結果、サイトの書き換えや、サーバーにある情報が読み取られることにつながるおそれがあるため、深刻度が高く評価されています。
公表された脆弱性は次の2件です。深刻度はどちらも、最も高い区分（Critical）とされています。
| 内容 |
|---|
| 番号 | 内容CVE-2026-109618、CVE-2026-109619 |
|---|
| 深刻度 | 内容PHPの開発チームの評価で9.2（CVSS v4.0）、米国の脆弱性データベース（NVD）の評価で9.8（CVSS v3.1）。どちらも10点満点 |
|---|
| 直った版 | 内容8.5.12、8.4.27、8.3.36、8.2.35 |
|---|
| 対象の版 | 内容8.5系は8.5.12より前、8.4系は8.4.27より前、8.3系は8.3.36より前、8.2系は8.2.35より前 |
|---|
| 8.1以前 | 内容影響を受けるとされています。サポートが終わっていて、公式の修正版は出ません。サーバーやOSの提供元が独自に修正を出している場合を除き、サポートの続いている版への移行が要ります |
|---|
PHPで動いているサイトは、対象になりえます。PHPの動かし方（サーバーの設定の種類）を問わず、ウェブの表示や送信を処理しているPHPが対象とされています。
- WordPressなど、PHPで動く仕組みで作ったホームページやブログ
- レンタルサーバーに置いた、お問い合わせフォームや予約フォーム
- PHPで作った会員ページやネットショップ、社内の管理画面
- 制作会社に作ってもらい、仕組みがよく分からないサイト
レンタルサーバーやクラウドのサービスでは、PHPの更新を提供元が行うことが多く、すでに修正版を当てたと案内している提供元もあります。ただ、対応の時期や方法は提供元ごとに違うため、ご利用の提供元の告知を確かめてください。一方で、自分で借りたサーバー（VPSなど）や社内のサーバーでは、借りた人や管理している人が更新することになります。
PHPを使っていない作り方のサイトや、ネットショップの作成サービスのように提供元がサーバーを管理しているものは、この脆弱性の更新を自分ですることは通常ありません。ただ、使っているサービスの告知は確かめておいてください。
使っているPHPの版は、主に次のところで確かめられます。
- レンタルサーバーの管理画面。PHPの版を選んだり、表示したりする設定があることが多いです
- WordPressの管理画面の「サイトヘルス」の情報。サーバーの項目に、PHPの版が出ます
- サーバーの提供元の告知。今回の脆弱性への対応の状況を案内していることがあります
版の数字が直った版より前でも、サーバーの提供元やOSの提供元が、番号を変えずに修正を取り込んでいることがあります。数字だけで判断がつかないときは、提供元の告知を確かめるか、問い合わせてください。
サイトを制作会社に作ってもらった場合や、保守を頼んでいる場合は、次のことを尋ねてみてください。誰がPHPを更新するのかが決まっていないと、どちらも手をつけないまま時間がたつことがあります。
- このサイトはPHPで動いているか。動いているなら、どの版か
- 修正版に更新したか。サーバーの提供元が更新した場合は、そのことを確かめたか
- 8.1以前を使っているなら、いつ、どの版に移るか
- 更新のあと、フォームの送信やページの表示などが今までどおり動くかを確かめたか
- 更新の前に攻撃を受けていなかったかを調べたか
- これからのPHPの更新を、誰が担当するか
更新や移行がすぐにできない場合は、外からのアクセスを絞ったり、サイトを一時的に止めたりするかどうかの判断が要ることもあると、公的な注意喚起で示されています。どうするかは、サイトの使われ方に合わせて担当者と決めてください。
古い版から新しい版へ移ると、プラグインや古いプログラムが動かなくなることがあります。更新のあとは、ページの表示・フォームの送信・管理画面へのログインなど、よく使うところを一通り試してください。
JPCERT/CCは、更新の前に攻撃を受けていなかったかを調べることも勧めています。調べ方は専門的なので、保守の担当やサーバーの提供元に相談してください。痕跡が見つからなくても、攻撃を受けていないとは言い切れないとされています。
IRISは、SNSから来た人を問い合わせにつなげるHP・LPの制作と、公開後の保守・運用（月額・任意）をご用意しています。保守・運用は、月ごとの作業時間の範囲で更新や不具合の対応を行うもので、含む作業の範囲はHP・LP制作のページの料金の目安に載せています。
IRISのHP・LP制作や保守・運用のほか、IRISが作っていないサイトのPHPの更新についてのご相談もお受けしています。お引き受けできるかどうかは、サーバーやサイトの状況を伺ってから判断するため、ご希望に添えない場合もあります。この作業はIRISの料金の目安に載っていないもので、費用は内容に合わせて個別にお見積りします。いまの制作会社や保守の担当がいる場合は、先にそちらへご確認ください。
ご相談は、お問い合わせからお送りください。お問い合わせフォームには、サーバーやサイトのIDとパスワードを書かないでください。
本記事は、IRISが公開情報をもとに独自にまとめたもので、The PHP Group、WordPress Foundation、Google LLC、note株式会社およびその他の各社とは関係ありません。PHPはThe PHP Groupの、WordPressはWordPress Foundationの、YouTubeはGoogle LLCの、noteはnote株式会社の商標または登録商標です。動画のサムネイルに含まれるPHPのロゴは、Colin Viebrock氏の作品で、クリエイティブ・コモンズ 表示-継承 4.0 国際のもとで、変更を加えずに使っています。