PHPの“致命的”な脆弱性、修正版が公開。影響するバージョンと、サイトを持つ人がやること

【10月22日追記】 予定どおり、日本時間の10月21日23時に修正版が公開されました。影響するバージョンと修正版は、「修正版が公開されました」の章にまとめています。

Webサイトを動かすためのプログラミング言語「PHP」に、深刻度が“致命的（Critical）”と評価された脆弱性が見つかったと、2026年10月21日に報じられました。修正版は、日本時間の10月21日23時に公開されています。

PHPは、WordPressをはじめ、とても多くのWebサイトで使われています。「自分のブログやお店のサイトは大丈夫？」と気になった人に向けて、今わかっていることと、やっておきたいことをまとめます。

この記事のポイント

• 外部からサイトのサーバーで好きなプログラムを動かされる（乗っ取られる）おそれがある、深刻な脆弱性
• 修正版は 8.5.12／8.4.27／8.3.36／8.2.35。これより前のバージョンは影響を受けるので、できるだけ早く更新する
• レンタルサーバーやWordPressのホスティングを使っている人は、サービス会社からのお知らせを確認

何が見つかったの？

窓の杜の報道と、PHPの公式発表によると、内容は次のとおりです。

研究者の投稿では、WordPressやLaravelなど、いくつもの環境で攻撃が再現できたとされています。特別な機能を使っていなくても関係するため、影響を受けるサイトはかなり多くなる可能性があります。

なお、当初は「アップロードの進み具合を扱う機能を設定でオフにすれば防げる」という案もありましたが、オフにするだけでは対策にならないことがわかっています。いちばん確実なのは、修正版への更新です。

修正版が公開されました

PHPの公式サイトによると、修正版は次の4つです（10月21日公開）。

公式の発表で、あらためてはっきりしたことは次のとおりです。

• 完全な対策は、修正版への更新だけ：設定を変えて危険を減らす方法も紹介されていますが、公式は「それだけでは安全にならない」としています。設定の変更は、すぐに更新できないときのつなぎと考えましょう
• PHP 8.1 以前は、公式の修正版が出ない：サポートが終わっているためです。古いバージョンを使っている人は、サーバー会社やOSの提供元が独自に修正を出しているかを確認し、できれば新しいシリーズへの移行を考えましょう
• PHP 8.2 のサポートも、2026年12月31日まで：今回の修正は受けられますが、年明け以降は修正版が出なくなります。8.2 を使っている人は、このタイミングで新しいシリーズへの切り替えも検討しておくと安心です
• 実際の攻撃は？：公式の発表では、すでに攻撃に使われているかどうかには触れていません。とはいえ、内容が公開された以上、早めの更新に越したことはありません

自分のPHPのバージョンを確かめるには

• レンタルサーバー：管理画面の「PHPバージョン設定」などのページで確認できます。サーバー会社が更新してくれる場合も、反映されたかどうかはお知らせやこのページで確かめましょう
• WordPress：管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンが表示されます
• 自分で管理しているサーバー：コマンドで php -v を実行すると表示されます

自分のサイトは関係ある？

更新の前にやっておきたいこと

更新で慌てないように、次の準備をしておきましょう。

1. どこでPHPを使っているかを確認する：自分が管理しているサイトやサーバーを書き出しておく
2. 更新のやり方を確認する：レンタルサーバーなら管理画面のどこでPHPのバージョンを確認・変更できるか、自分のサーバーならどのコマンドで更新するかを調べておく
3. バックアップを取っておく：更新で表示が崩れたときにすぐ戻せるよう、サイトのデータをバックアップする
4. お知らせを受け取れるようにする：サーバー会社からのメールや、管理画面のお知らせを見落とさないようにする

修正版に更新するとき

• できるだけ早く更新する：深刻な脆弱性は、公開されたあと、攻撃に使われるまでの時間が短くなりがちです
• 更新したら、サイトが正しく表示されるか確認する：トップページ、記事ページ、お問い合わせフォーム、ログインなど
• プラグインやテーマも最新にしておく：WordPressを使っている場合は、PHPの更新とあわせて、本体やプラグインの更新状況も見直しておきましょう

このブログの考え方

実はこのブログの仕組み（CMS）は、PHPではなく、別の言語（Node.js）で作っています。とはいえ、Webに公開しているかぎり、こうした脆弱性はひとごとではありません。

むずかしい仕組みをすべて理解していなくても大丈夫です。大事なのは、「自分のサイトが何で動いているか」を知っておくことと、お知らせが来たらすぐ更新する習慣。それだけで、多くのトラブルは防げます。

まとめ

• PHPに、外部からサーバーを乗っ取られるおそれのある“致命的”な脆弱性が見つかった（2件、CVSS 9.2）
• 修正版は 8.5.12／8.4.27／8.3.36／8.2.35（日本時間10月21日23時公開）。それより前のバージョンは影響を受ける
• 完全な対策は修正版への更新だけ。設定の変更はつなぎにとどまる
• PHP 8.1 以前は公式の修正版が出ない。提供元の対応を確認し、新しいシリーズへの移行を
• レンタルサーバーの人はサービス会社のお知らせと、PHPのバージョンを確認

参考資料

• 「PHP」に“致命的”な脆弱性2件、日本時間21日深夜に緊急のセキュリティリリースへ（窓の杜、2026年10月21日）
• PHP 公式サイト（ニュース）（PHP、2026年10月21日の各リリースとセキュリティ情報）
• RCE via OOM corruption（CVE-2026-109618）（PHP のセキュリティ情報、英語）
• RCE via stale global state（CVE-2026-109619）（PHP のセキュリティ情報、英語）

※ 記事の内容は、2026年10月22日時点で上記の公式発表・報道から確認したものです（10月21日夕方に公開し、22日に修正版の情報を追記しました）。