MENU
  1. ホーム
  2. AI・SEOニュース
  3. PHPに重大な脆弱性2件、修正版は日本時間10月21日23時に公開予定　WordPressなどのサイト運営者がすること

PHPに重大な脆弱性2件、修正版は日本時間10月21日23時に公開予定　WordPressなどのサイト運営者がすること

AI・SEOニュース
速報
PHPに重大な脆弱性2件、修正版は日本時間10月21日23時に公開予定　WordPressなどのサイト運営者がすることのアイキャッチ画像

文：AB通信 編集部｜運営：株式会社abcompany

PHPのセキュリティチームは2026年10月20日、重大な脆弱性2件を修正するセキュリティリリースを、日本時間10月21日（水）23時（14:00 UTC）に公開するとphp.netで予告しました。2件とも、深刻度を表すCVSS v4.0のスコアは9.2です。影響を受けるバージョンや修正版、脆弱性の詳しい内容は、リリースと同時に公開されます。WordPressをはじめ、PHPで動くサイトを運営している人は、修正版が出たらすぐに更新できるよう準備しておく必要があります。

この記事の要点

  • PHPの重大な脆弱性2件を直すセキュリティリリースが、日本時間10月21日23時に公開される予定です。2件ともCVSS v4.0で9.2です。
  • 脆弱性の詳しい情報が公開されたり、実際に悪用されていることがわかったりした場合は、予定より早く公開されることがあります。
  • どのバージョンが影響を受けるか、どのバージョンで直るかは、リリースのときに公開されます。
  • 公式の発表の前に情報が漏れており、セキュリティ企業のwatchTowrは、リモートでコードを実行される脆弱性で、実在すると確認したとしています。
  • サイトの運営者は、使っているPHPのバージョンと、レンタルサーバーのお知らせを今のうちに確かめておき、修正版が出たら早めに更新しましょう。
  • 10月21日15時半ごろ追記：IPAが、修正版をすぐに適用できるよう事前の準備を求める注意喚起を出しました。IPAは、悪用した攻撃は現時点で確認していないとしています。Xでは「攻撃コードが出回っている」との投稿があり、国内のGMO Flatt Securityは一時的な回避策では攻撃を防げない見込みだとしています。16時半ごろ追記：海外のSansecは、修正版の公開から15分以内に大規模な攻撃が始まると予想しています。修正版が出たらすぐに更新してください（続報）。
目次

発表の概要

項目内容
発表2026年10月20日。PHPのセキュリティチームがphp.netと告知用メーリングリストで予告
公開予定2026年10月21日（水）23時（日本時間）／14:00 UTC
修正される脆弱性重大（Critical）な脆弱性2件。CVSS v4.0のスコアはどちらも9.2
影響するバージョンリリース時に公開（10月21日時点では未公表）
修正版リリース時に公開（10月21日時点では未公表）
前倒しの可能性脆弱性の詳細が公開された場合や、悪用の証拠が見つかった場合は、予定より早く公開することがある

PHPの公式発表

The PHP security team would like to give advance notice of an upcoming security release.

It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC.

It addresses two critical vulnerabilities, both rated CVSS v4.0 9.2.

All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available.

We reserve the right to release earlier should details of either vulnerability become public, or should evidence of active exploitation appear in the wild.

Full details, affected versions, and the fixed versions will be published with the release.

php.net「Upcoming Critical PHP Security Release」（2026年10月20日）

日本語にすると、「PHPのセキュリティチームから、近く行うセキュリティリリースについて事前にお知らせする。公開は2026年10月21日（水）14:00 UTCの予定。CVSS v4.0でどちらも9.2と評価された、重大な脆弱性2件に対応する。PHPを使うすべての人は、リリースが出たらすぐに更新できるよう、今のうちに準備してほしい。どちらかの脆弱性の詳細が公開された場合や、実際に悪用されている証拠が見つかった場合は、予定より早く公開することがある。詳細、影響するバージョン、修正版は、リリースと同時に公開する」という内容です。PHPの開発を支えるThe PHP Foundationも、公式のXアカウントで同じ内容を伝えています。

公式発表の前に漏れていた情報

今回の脆弱性は、PHPの発表より前に情報が出回っていました。以下は、PHPの公式発表には書かれていない内容です。PHPのリリースで正式な情報が出るまでは、確定した情報ではない点に注意してください。

出どころ内容
Hacker Newsへの投稿（日本時間10月21日0時20分）「信頼できる情報源」から聞いた話として、PHPのリモートコード実行の脆弱性2件が、日本時間10月23日1時（10月22日18:00 CEST）に公表される予定だと投稿された。CVSSは10.0で、PHP 5以降のバージョンに影響するとされ、CVE番号としてCVE-2026-109618とCVE-2026-109619が挙げられた。投稿者自身は、裏付けとなる証拠はないとしている
watchTowrのX投稿（日本時間10月21日3時26分）セキュリティ企業のwatchTowrが、公表まで待つことになっていたPHPのリモートコード実行の脆弱性について情報が漏れたとし、「実在することを確認できる」と投稿。修正版が出たら適用するよう呼びかけた
watchTowrのFAQCVE-2026-109618とCVE-2026-109619は、攻撃者がサーバー上で任意のコードを実行できるおそれのある脆弱性だと報告されているとした。PHP 5以降のすべてのバージョンに影響すると報告されているが、公式には確認されていないとしている。また、10月21日時点で実際の悪用は報告されていないとしている
CERT-EUのアドバイザリ 2026-018EUの機関向けのCSIRTであるCERT-EUは、漏れた情報によるとリモートコード実行につながるおそれがあるとし、PHP 5以降のすべてのバージョンが影響を受ける可能性があるとした。修正版が出たらすぐに適用できるよう準備し、すぐに適用できない場合はインターネットに公開しているアプリケーションを切り離すことも検討するよう勧めている

なお、CVSSのスコアは、Hacker Newsの投稿とwatchTowrが10.0としているのに対し、PHPの公式発表ではCVSS v4.0で9.2となっています。CVE番号は、CVEの公式データベースでは10月21日時点で「予約済み（Reserved）」の状態で、内容はまだ公開されていません。

続報：攻撃コードをめぐる情報とCloudflareの対応（10月21日13時半ごろ追記）

日本時間10月21日の朝から、攻撃コードや一時的な回避策についての情報がXで広まっています。公式に確認できたことと、まだ公式には確認されていない情報を分けて整理しました。

公式に確認できたこと

  • （15時半ごろ追記）IPA（情報処理推進機構）は10月21日、「【事前準備のお願い】PHPのセキュリティリリース公開予定について」という注意喚起を出しました。IPAは、今回の2つの脆弱性を悪用した攻撃は現時点で確認していないとしたうえで、悪用されるおそれがあるため予防的に知らせるとしています。影響するバージョンや修正版の番号はまだ確認できていないとし、CERT-EUの注意喚起ではPHP 5以降が影響を受けるとされていることも紹介しています。そのうえで、PHPを使っているサイトやプログラムを洗い出し、修正版が出たらすぐに適用できるよう準備するよう求めています。PHPはソフトウェア製品やネットワーク機器の内部で使われていることもあるため、製品のマニュアルや開発元の情報も確かめるよう呼びかけています。また、サポートが終わった古いPHPを使い続けているサイトも見受けられ、攻撃者がごく短い時間で攻撃を始めるおそれもあるとしています。
  • Cloudflareは10月21日、有料プラン向けのマネージドルールセットと、無料プランでも使えるフリールールセットに、WAF（不正なアクセスを防ぐ仕組み）の緊急ルールを追加しました。異常なリクエストのパターンを検知するためのもので、どちらの一覧にも「Anomalous Execution」（異常な実行）という名前のルールが4つ載っています。ただし、PHPの脆弱性への対応だとは書かれていません。
  • PHPの修正版は、予定どおり日本時間10月21日（水）23時に公開される予定です。php.netの告知は、15時半の時点で10月20日の予告から変わっていません。
  • CERT-EU、JPCERT/CC、ConoHa WINGからは、15時半の時点で今回の件についての新しい発表は出ていません。CERT-EUの注意喚起は、初版のまま更新されていません。

公式には確認されていない情報

以下は、セキュリティ研究者のKirill Firsov氏（@k_firsov）がXに投稿した内容です。PHPのセキュリティチームや公的機関が確かめた情報ではありません。

日時（日本時間）内容
10月21日 5時27分（動画の投稿）「php2shell」という3分ほどの動画を投稿。WordPress 7.1.3、MediaWiki、Magento、Joomla、Laravel、Drupalなどで、外からコマンドを実行できたとする様子を見せた。13時半の時点で約39万回表示されている。動画の攻撃先はどれも手元の環境（127.0.0.1）で、X上では動画の信ぴょう性を疑う声も出ている。本人は、動画と攻撃コードは別の研究者によるものだとしている
10月21日 10時16分（投稿）「攻撃コードはもう出回っている」と投稿。コードそのものは公開しないとした
10月21日 10時32分（投稿）一時的な回避策として、php.iniでsession.upload_progress.enabled = Offにすることと、日本時間23時以降に最新のPHPへ更新することを勧めた
10月21日 10時58分（返信）回避策はこれだけで足りるのかという質問に、「確認されたことは何もない」と答えた

攻撃コードが本当に動くのか、実際の悪用が始まっているのか、この回避策で防げるのかは、どれも公式には確認されていません。IPAも注意喚起で、悪用した攻撃は現時点で確認していないとしています。PHPの公式発表も、修正版の公開まで脆弱性の内容を明らかにしていません。

国内のセキュリティ企業の見方（10月21日14時20分ごろ追記）

国内のセキュリティ企業GMO Flatt Securityは、10月21日11時12分に公式ブログで今回の脆弱性の解説を公開し、14時16分に内容を更新しました。PHPの公式発表や公的機関の情報ではなく、同社の調査にもとづく見方です。同社は、今回の脆弱性はPHPのセッション管理の機能に関係するものとみています。

14時の更新では、この脆弱性を悪用できると主張するコードが、すでにインターネット上に出回り始めているとしました。また、session.upload_progress.enabledを無効にしても緩和にとどまり、攻撃そのものは防げない見込みだとして、修正版が公開されたらすぐに適用するよう呼びかけています。

海外のセキュリティ企業の見方（10月21日16時半ごろ追記）

オランダのセキュリティ企業Sansecは10月21日、今回の脆弱性についての分析を公開しました。こちらもPHPの公式発表や公的機関の情報ではなく、同社の見方です。Sansecは、修正版の公開から15分以内に大規模な攻撃が始まると予想しています。また、攻撃はPHPそのものを狙うもので、サイト側のコードでは防げないとして、サーバーのPHPを更新する必要があるとしています。

PHPが公式にサポートしているのは8.2以降で、PHP 8.1以前を使っているサーバーには公式の修正版が出ません。Sansecは、自分でサーバーを管理していない場合は今日のうちにサーバー会社に連絡し、修正版が出たらすぐに更新してもらえるよう頼んでおくことを勧めています。PHP 8.1以前を使っている場合は、サポート中のバージョンに移してもらうか、修正を古いバージョンに移植してもらうよう、サーバー会社に頼む必要があるとしています。

回避策として挙げられたsession.upload_progress.enabledは、ファイルをアップロードしている間、その進み具合をセッションに記録しておく設定です。PHPのマニュアルによると初期設定では有効で、アップロードの進捗バーを表示するときに使われます。オフにすると、この仕組みで進捗を表示しているサイトやプラグインでは、進捗が出なくなることがあります。マニュアルには、進捗バーを使わないアプリではこの設定を無効にすることを検討するよう書かれていますが、今回の脆弱性への対策としてPHPが勧めているものではありません。GMO Flatt Securityも、無効にしても攻撃を完全には防げない見込みだとしています。設定を変えた場合でも、今夜23時に公開される修正版への更新が欠かせません。

サイトを運営している人は、まず自分のサイトのPHPのバージョンを確かめておきましょう（WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます）。そのうえでレンタルサーバーのお知らせを見て、修正版が出たらすぐに更新してください。

サイトの運営者がすること

WordPressなど、PHPで動くサイトを運営している場合にすることを、修正版の公開前と公開後に分けて整理しました。

時期すること
今すぐ契約しているレンタルサーバーのお知らせを確認し、PHPの更新の予定が出ていないかを見ておく
今すぐ使っているPHPのバージョンを確かめる。WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できる
今すぐPHP 8.1以前を使っている場合は、サポート中のバージョン（8.2〜8.5）に切り替える準備をする。テーマやプラグインが新しいバージョンで動くかも確かめておく
修正版の公開後レンタルサーバーがPHPを更新したかを、お知らせで確認する。VPSや専用サーバーなど、自分でPHPを管理している場合は、自分で修正版に更新する

PHPは、バージョンごとにサポート期間が決まっています。PHPの公式サイトによると、10月21日時点でサポートされているのは8.2、8.3、8.4、8.5の4つで、8.1以前はすでにサポートが終わっています。サポートが終わったバージョンには、公式の修正版は提供されません。

バージョン10月21日時点の最新版セキュリティサポートの期限今回の修正版
PHP 8.58.5.112029年12月31日リリース時に公開
PHP 8.48.4.262028年12月31日リリース時に公開
PHP 8.38.3.352027年12月31日リリース時に公開
PHP 8.28.2.342026年12月31日リリース時に公開
PHP 8.1以前—サポート終了提供されない

WordPressは、動作環境の案内で、PHP 8.3以上を推奨しています。サポート中でも8.2は2026年12月31日で期限を迎えるため、切り替えるなら8.3以上にしておくと安心です。

今後の予定

修正版は、日本時間10月21日23時に公開される予定です。影響するバージョン、修正版のバージョン、脆弱性の内容がわかりしだい、この記事に追記します。

出典

AI・SEOニュース
速報

関連記事

目次