PHP の重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）、修正版を公開（2026年10月21日）

サイト運営者がやること

1. 使っている PHP の版を確かめる

まず、自社のサイトがどの版の PHP で動いているかを確かめます。

• レンタルサーバーなら、コントロールパネルの「PHP の設定」「PHP バージョン」などの画面に、選んでいる系列（例：8.3）が出ます。
• WordPress なら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」に、動いている PHP の版が出ます。
• サーバーを自分で管理しているなら、Web で使っている PHP（php-fpm・mod_php など）の版を確かめます。コマンドの php -v は、Web で動いている PHP と別のものを指していることがあります。
• 版を確かめるために phpinfo() のページを作った場合は、確かめたらすぐ消してください。公開したままにすると、攻撃の手がかりになります。

2. 修正版へ更新する（PHP 8.2〜8.5）

同じ系列の修正版（8.5.12・8.4.27・8.3.36・8.2.35 以降）へ更新します。Linux の配布元のパッケージを使っている場合は、配布元が出した更新を当てます（番号の付け方が開発元と違うことがあるので、配布元のお知らせで今回の CVE が直っているかを確かめます）。

• 更新したら、PHP を動かしているプロセス（php-fpm・Apache など）を再起動し、表示・フォーム・決済など主な動きを確かめてください。
• PHP 8.2 は、2026年12月31日で開発元のセキュリティ修正の提供が終わります。今回 8.2 を更新した場合も、8.3 以降への移行を計画してください。

3. サポートが終わった版（PHP 8.1 以前）を使っている場合

サポートが終わった版には、開発元の修正版が出ません。今回のように重大な脆弱性が見つかっても、そのままでは直せない状態です。IPA は、サポートが終わった古い PHP を使い続けているサイトがあることを、今回の呼びかけの中で指摘しています。

• Linux の配布元や長期サポートの事業者と契約しているなら、修正を取り込んだ版が出ていないかを確かめます。
• そうでなければ、サポート中の版（8.3 以降）への移行を急いで計画してください。移行の前に、使っている CMS・プラグイン・自作のプログラムが新しい版で動くかの確認が要ります。
• 開発元が出した 7.4・8.0・8.1 用の最小限の修正は、PHP を自分でビルドして使う人向けです。

4. レンタルサーバー・ホームページの制作会社に任せている場合

レンタルサーバーでは、PHP 本体の更新は提供事業者が行います。利用者がやることは次のとおりです。

• 提供事業者のお知らせ（メンテナンス・障害・セキュリティの情報）で、今回の脆弱性への対応（修正版の適用）が済んだかを確かめます。
• コントロールパネルで、サポートが終わった古い系列（7.4・8.0・8.1 など）を選んでいないか確かめます。古い系列は、事業者が修正を当てられないことがあります。切り替える前に、サイトのバックアップを取り、CMS やプラグインが新しい系列に対応しているかを確かめてください。
• お知らせで分からないときは、提供事業者に「CVE-2026-109618・CVE-2026-109619 への対応状況」を問い合わせてください。
• サイトの運用を制作会社に任せている場合は、制作会社に同じことを確かめてください。

5. すぐに更新できない場合（サーバーを自分で管理している場合）

開発元は、更新までの間に攻撃の経路の一部を減らす設定（メモリの上限や送信できるデータの大きさの設定、アップロードの進み具合を記録する機能を止める設定など）を示しています。ただし、どれも完全な対策ではなく、更新だけが解決になるとしています。設定の中身は、出典の PHP の開発元の告知で確かめてください。

CERT-EU は、すぐに更新できないときは、インターネットに公開しているサービスを外から切り離すことも検討するよう勧めています。

6. 更新の後に（一般的な案内）

更新前の期間に攻撃を受けていないとは言い切れません。サイトのファイルに覚えのないものが増えていないか、管理者のアカウントが増えていないかを確かめてください。不審な点があれば、「事故が起きたら」のページも参考にしてください。

自社のサイトを確かめる

公開しているサイトの応答に PHP の版が出ている場合、無料診断の「CMS・サーバーのバージョン露出」で、今回の修正版より古いかどうかを表示します。版を出していないサイトは「版を公開していません（良い設定です）」と表示し、当否は判定しません（PHP を使っている場合は、管理画面や提供事業者の案内で版を確かめてください）。Linux の配布元やレンタルサーバーの事業者（CloudLinux を使うものなど）が修正を取り込んだ版では、表示される番号が古いままのことがあるため、配布元の記号が付いた版は「推奨」にとどめています。結果は提供事業者の案内と合わせて確かめてください。あわせて、応答の名乗りから推測できる OS とそのサポート期間も表示します。