PHPに重大な脆弱性｜PHPを利用しているWebサイト・システムで確認すべきこと

2026年10月21日、PHPにおいて「CVE-2026-109618」「CVE-2026-109619」という2件の重大な脆弱性が公表されました。

これらの脆弱性が悪用された場合、認証されていない外部の第三者からPHPが動作しているサーバー上で任意のコードを実行される可能性があります。

PHPは世界中のさまざまなWebサイトやWebシステムで利用されています。

そのため、WordPressやEC-CUBEをはじめ、PHPで構築されたWebサイト・業務システムを運用している場合は、現在利用しているPHPのバージョンやサーバー環境を確認することをおすすめします。

今回の脆弱性について

対象となっている脆弱性は、

• CVE-2026-109618
• CVE-2026-109619

の2件です。

PHP公式からは、いずれも認証なしでリモートコード実行につながる可能性のある重大な脆弱性として案内されています。

悪用された場合、攻撃者によってPHPの実行権限で任意のコードが実行される可能性があります。

その結果、

• Webサイトの改ざん
• 不正なファイルの設置
• バックドアの設置
• サーバー内情報へのアクセス
• 不正な外部通信
• 他のシステムへの攻撃の踏み台

などにつながる可能性があります。

どのようなサイトが対象になるのか

PHP公式は、Webリクエストを処理するPHP環境について影響を受ける可能性があるとしています。

例えば、

• WordPress
• EC-CUBE
• Laravel
• Symfony
• 独自開発のPHPシステム
• PHPで構築されたCMS
• PHPを利用している予約システム
• PHPを利用している業務システム

などです。

ただし、WordPressやEC-CUBEそのものに今回の脆弱性が存在するという意味ではありません。

それらを動作させているPHP環境に存在する脆弱性です。

修正版のPHPが公開されています

2026年10月21日、今回の問題を修正した以下のPHPが公開されています。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

これらより前の該当バージョンを使用している場合は、修正版への更新が推奨されています。

PHP公式は、完全な代替策はなく、更新することが安全な対応であると案内しています。

PHP 8.1以前を利用している場合

PHP 8.1以前はすでに公式サポートが終了しています。

そのため、PHP 8.1以前を使用している場合は、今回だけではなく今後発見される脆弱性についても十分なセキュリティアップデートを受けられない可能性があります。

JPCERT/CCも、PHP 8.1以前についてサポートされているPHPへのアップグレードを推奨しています。

長期間PHPを更新していないサイトでは、

「サイト自体を新しいPHPへ対応させる」

ことも含めて検討する必要があります。

PHPだけを更新できない場合があります

PHPを利用しているプログラムによっては、新しいPHPに対応していない場合があります。

例えばPHPを更新したことによって、

• Webサイトが表示されなくなる
• 管理画面へアクセスできなくなる
• PHPエラーが発生する
• プラグインが動作しなくなる
• 独自開発部分が動かなくなる

といった問題が発生する可能性があります。

そのため、本番サイトのPHPをいきなり変更するのではなく、

1. 現在のPHPバージョンを確認
2. 使用しているシステムを確認
3. 新しいPHPへの対応状況を確認
4. テスト環境で動作確認
5. PHPを更新

という流れで対応することをおすすめします。

アップデートだけでなく侵害調査も重要です

今回の脆弱性については、公表前から悪用を試みる通信が観測されています。

JPCERT/CCも、PHPを修正版へ更新するとともに、今回の脆弱性を悪用した攻撃を受けていないか確認することを推奨しています。

確認項目としては、

• 不審なHTTPリクエスト
• PHPプロセスの異常終了
• 不審な外部通信
• 見覚えのないファイル
• PHPファイルの改ざん
• 不審なプロセス
• WebShellやバックドア

などがあります。

注意したいのは、

「不審なログが見つからなかったから安全」

とは限らない点です。

攻撃方法やサーバーのログ設定によっては痕跡が残らない可能性があります。

そのため、重要なWebサイトや個人情報を扱うシステムの場合には、複数の観点から確認することが重要です。

特に確認しておきたいWebサイト

今回に限らず、以下に該当するWebサイトでは一度環境を確認しておくことをおすすめします。

• 数年間PHPを更新していない
• サイトを制作してからほとんどメンテナンスしていない
• PHPのバージョンが分からない
• CMSのバージョンが分からない
• 制作会社との保守契約が終了している
• 古いプラグインを使用している
• 個人情報を取り扱っている
• ECサイトや会員サイトを運営している

弊社ではPHP利用サイトの確認・調査に対応しています

弊社ではPHPを利用したWebサイト・Webシステムについて、

• PHPバージョンの確認
• 今回の脆弱性への該当確認
• PHPアップデート可否の調査
• 使用しているCMS・システムの確認
• PHP更新後の動作確認
• 不正アクセスの痕跡調査
• Webサイトの改ざん確認
• 不審なファイルの確認
• アクセスログ等の調査
• サーバー環境の更新・移行

などのご相談を承っています。

WordPress、EC-CUBE、Laravel、独自開発PHPシステムなど、PHPを利用しているシステムについてご相談いただけます。

こんな場合でもご相談いただけます

• PHPを使っているか分からない
• PHPのバージョンが分からない
• 制作した会社と現在連絡が取れない
• PHPを変更するとサイトが壊れないか心配
• 不正アクセスされていないか確認してほしい
• サイトが改ざんされていないか調べてほしい
• 古いシステムなので今後どうすべきか相談したい

まず現在のサイトやサーバー環境を確認し、

「今回すぐに対応が必要なのか」

「PHPのアップデートだけでよいのか」

「システム側の改修も必要なのか」

「侵害調査まで行った方がよいのか」

という点からご案内いたします。

PHPやシステムのバージョンが分からない場合でも、お気軽にお問い合わせください。