今週は、サーバーやサイトの運営に関わる脆弱性の情報が続いています。PHPの重大な脆弱性2件は10月21日夜に修正版が出て、すぐの更新が求められています。10月21日には、ソースコード管理のGitLabにもCVSS 10.0の脆弱性が見つかりました。ほかにも、Linuxカーネル、JavaのWebサーバーApache Tomcat、JavaScriptの実行環境Node.js、WordPressのプラグインDuplicatorとUpdraftPlusで、修正版や注意喚起が出ています。それぞれ、誰に関係するのか、いつまでに何をすればよいのかを、10月22日12時時点の公式の情報をもとにまとめました。
この記事の要点
- PHPの重大な脆弱性2件（CVSS v4.0で9.2）は、10月21日夜に修正版の8.5.12、8.4.27、8.3.36、8.2.35が出ました。PHPで動くサイトは、今すぐの更新が必要です。
- GitLabのCVE-2026-110264（CVSS 10.0）は、ログインしていない人にサーバー上でコードを実行されるおそれがあります。自分で運用しているGitLabは、19.5.1などの修正版にすぐ上げてください。
- Linuxカーネル（CVE-2026-99999）、Tomcat（11.0.27・10.1.61・9.0.123）、Node.js（26.12.1・24.22.1・22.23.4）は、OSやソフトを自分で管理している人が更新します。
- WordPressのプラグインは、Duplicatorを5.0.0以上に、UpdraftPlusを修正版以上に更新し、UpdraftPlusは接続キーも消します。
- 共用のレンタルサーバーでWordPressを動かしている場合、PHPやカーネルの更新はサーバー会社が行います。自分でするのは、サーバー会社のお知らせの確認と、プラグインの更新です。
一覧：何を、いつまでに、どうするか
| 件 | 誰に関係するか | いまの状況（10月22日12時時点） | いつまでに | どうするか |
|---|---|---|---|---|
| PHPの重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619） | PHPで動くサイト全般（WordPressなど） | 修正版の8.5.12、8.4.27、8.3.36、8.2.35が10月21日夜に公開済み。PHP 8.1以前には公式の修正版が出ない | 今すぐ | 共用サーバーは、サーバー会社のお知らせで更新済みか確かめる。自分で管理している場合は修正版に更新し、PHPを再起動する。8.1以前はサポート中の版に移す |
| ソースコード管理のGitLabの脆弱性（CVE-2026-110264） | 自分のサーバーでGitLabを動かしている人 | CVSS 10.0。修正版の19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13が10月21日に公開済み。GitLab.comは修正済み | 今すぐ | 使っている系列の修正版に上げる。18.10以前は、決まった順序に沿って18.11.13以降まで上げる |
| Linuxカーネルの脆弱性（CVE-2026-99999） | Linuxのサーバー。とくに仮想マシンを動かすホスト | 修正したカーネルは公開済み。さくらのレンタルサーバ・マネージドサーバ・VPSは新規申し込みを停止中 | OSを自分で管理しているなら、すぐ | 共用サーバーは、サーバー会社のお知らせを確認する。VPSや専用サーバーは、OSの配布元の修正したカーネルに更新する |
| JavaのWebサーバーApache Tomcatの脆弱性（8件） | TomcatでJavaのWebアプリを動かしている人 | 最高の深刻度はImportant（重要）。修正版の11.0.27、10.1.61、9.0.123は10月12日に公開済みで、脆弱性は10月20日に公表 | 早めに | 使っている系列の修正版に上げる。8.5系などサポートが終わった系列は、サポート中の系列に移す |
| Node.jsの脆弱性 | Node.jsでサイトやツール、APIを動かしている人 | 修正版の26.12.1、24.22.1、22.23.4が10月21日に公開済み。最も深刻なものはHIGH（高） | 早めに | 使っている系列の修正版に上げる。20.xや25.xなどサポートが終わった版は、サポート中の系列に移す |
| UpdraftPlus運営元への不正アクセス | UpdraftCentral（クラウド版）にサイトをつないでいるWordPressサイト | 修正版（無料版1.26.13／プレミアム版2.26.13）は公開済み | 運営元は当日中の対応を求めている | 修正版以上に更新し、接続キーを消す。管理者とプラグインを確かめ、管理者のパスワードを変える |
| WordPressのプラグインDuplicatorの脆弱性（CVE-2026-82814） | DuplicatorやDuplicator Proを入れているWordPressサイト | CVSS 8.8。5.0.0で修正済み | 今すぐ版を確かめ、次にサイトを移行する前までに | 5.0.0以上に更新する。古い版で作ったパッケージで移行する前に、パッケージを作り直す |
自分はどれをすればよいか
| 使い方 | すること |
|---|---|
| 共用のレンタルサーバーでWordPressを動かしている | PHPとカーネルは、サーバー会社が更新する。サーバー会社のお知らせで、PHPの修正版への更新が済んだかを確かめる。自分では、DuplicatorとUpdraftPlusを入れていれば更新する |
| VPSや専用サーバー、クラウドでOSを自分で管理している | PHPを修正版に更新して再起動し、カーネルも修正したものに更新する。GitLab、Tomcat、Node.jsを動かしていれば、それぞれ修正版に上げる |
| Next.jsなどでサイトやツールを作っている | Node.jsを修正版に上げる。開発用のパソコンやCI、Dockerのイメージで指定している版も確かめる |
| 社内でGitLabを動かしている | 最優先でGitLabを修正版に上げる |
PHPの重大な脆弱性2件
PHPは10月21日夜（日本時間）、PHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、セキュリティアドバイザリで脆弱性の内容を明らかにしました。CVE-2026-109618とCVE-2026-109619の2件で、CVSS v4.0のスコアはどちらも9.2です。どちらも、認証なしで外からコードを実行されるおそれがあります。PHPは、すべての利用者にすぐ更新するよう強く呼びかけ、完全な緩和策はなく、更新が唯一の安全な方法だとしています。
- 影響するところ：Webのリクエストを処理しているすべてのPHP（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）です。WordPressもPHPで動いています。
- 共用のレンタルサーバー：PHPの更新はサーバー会社が行います。お知らせで、修正版への更新が済んだかを確かめてください。各社の対応は、レンタルサーバー各社のメンテナンス一覧やロリポップ！の記事、エックスサーバーの記事にまとめています。
- 自分でPHPを管理している場合：修正版に更新し、ApacheやPHP-FPMなどPHPのサービスを再起動します。
- PHP 8.1以前：PHPの公式サイトによると、サポートされているのは8.2以降で、8.1以前にはPHPの開発元からの更新はありません。サポート中の版に移してください。なお、8.2のセキュリティサポートは2026年12月31日までです。
WordPressやプラグインを更新しても、PHPの脆弱性は直りません。経緯やWordfenceの検証結果は、PHPの脆弱性の記事で詳しく整理しています。
GitLabの脆弱性（CVE-2026-110264）
ソースコード管理のGitLabは10月21日付で緊急のパッチリリースを出しました。最も深刻なCVE-2026-110264は、CVSS 3.1で10.0（Critical）です。細工した正規表現をコンパイルする処理で整数オーバーフローが起き、条件によっては、ログインしていない人がGitLabのサーバー上で任意のコードを実行できるおそれがあります。対象は7.0以降の、修正版より前のすべての版です。
| 使っている版 | 上げる先 |
|---|---|
| 19.5.0 | 19.5.1 |
| 19.4.0〜19.4.2 | 19.4.3 |
| 19.3.0〜19.3.5 | 19.3.6 |
| 19.2.0〜19.2.8 | 19.2.9 |
| 19.1.0〜19.1.8 | 19.1.9 |
| 19.0.0〜19.0.9 | 19.0.10 |
| 18.11.0〜18.11.12 | 18.11.13 |
| 7.0〜18.10.x | 修正版のない系列。決まった順序に沿って18.11.13以降まで上げる |
- 影響するところ：自分のサーバーやクラウドでGitLab（Community EditionとEnterprise Edition）を動かしている場合です。GitLab.comは修正済みで、利用者の対応は要りません。
- 注意：19.2.9、19.1.9、19.0.10、18.11.13は、CVE-2026-110264の修正だけを移したものです。同じリリースで直ったほかの11件は、19.3.6、19.4.3、19.5.1で直ります。19.4.3と19.3.6にはデータベースの移行があり、サーバー1台の構成では移行のあいだ止まります。
同時に直ったほかの脆弱性や、版の確かめ方は、GitLabの脆弱性の記事で詳しく整理しています。
Linuxカーネルの脆弱性（CVE-2026-99999）
Linuxカーネルのネットワーク処理（IPv4）に、CVSS v3.1で9.3（緊急）の脆弱性が見つかりました。通称は「PwnEscape」です。仮想マシンの中から細工した通信を送ると、ホストのメモリの中身が漏れたり、ホストが止まったり、ホストで管理者の権限でコマンドを実行されたりするおそれがあります。Linux 2.6.27以降が影響を受け、Linux本体では5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57、7.2.11、7.3で修正されています。
さくらインターネットは自社サービスへの影響を調べているとし、さくらのレンタルサーバとさくらのマネージドサーバの新規申し込みを止めています。10月20日19時15分の更新では、さくらのクラウドが新規プロジェクトの作成を再開しました。契約中のプランは通常どおり動いています。
- 共用のレンタルサーバー：カーネルはサーバー会社が管理しているので、利用者が更新することはできません。サーバー会社のお知らせで、影響やメンテナンスの予定を確かめましょう。
- VPSや専用サーバーなど、OSを自分で管理している場合：OSの配布元のセキュリティ情報を確かめ、修正したカーネルに更新します。ディストリビューションの修正版は、Linux本体と番号が異なることがあります。
さくらインターネットの各サービスの状況は、Linuxカーネルの脆弱性の記事で詳しくまとめています。
Apache Tomcatの脆弱性（8件）
JavaのWebアプリを動かすWebサーバー「Apache Tomcat」の開発チームは10月20日、8件の脆弱性を公表しました（11系・10系・9系）。Tomcatの4段階の深刻度で上から2番目のImportant（重要）が3件、残りはLow（低）です。修正版の11.0.27、10.1.61、9.0.123は、公表より前の10月12日に公開されています。
| Importantの脆弱性 | 何が起きるか | 対象の版 |
|---|---|---|
| CVE-2026-101296 | JNDIRealmをGSSAPI以外のSASLの認証方式で設定していると、正しいパスワードなしで認証が通る | 11.0.0-M1〜11.0.26／10.1.0-M1〜10.1.60／9.0.0.M1〜9.0.122（8.5系・7.0系も影響あり） |
| CVE-2026-101356 | HTTP/2で非同期のサーブレットを使っていると、エラーのあとに別の利用者とリクエストや応答が入れ替わる | 11.0.22〜11.0.26／10.1.55〜10.1.60／9.0.118〜9.0.122 |
| CVE-2026-103119 | AJPの接続で、応答の中身が次のリクエストに分かれて入り、前の応答のデータが漏れるおそれがある | 11.0.0-M25〜11.0.26（11系のみ） |
- 影響するところ：Tomcatで、自社のJavaのWebアプリを動かしている場合です。Tomcatを組み込んだ製品を使っている場合は、その製品の開発元の案内も確かめてください。
- すること：11系は11.0.27、10.1系は10.1.61、9系は9.0.123に上げます。8.5系や7.0系などサポートが終わった系列には修正版が出ないため、サポート中の系列に移します。9.0系のサポートは2027年3月31日で終わると発表されています。
Lowの5件を含む一覧と、版の確かめ方は、Tomcatの脆弱性の記事で詳しく整理しています。
Node.jsの脆弱性
JavaScriptの実行環境「Node.js」は、10月21日19時38分（日本時間）に、26.x・24.x・22.xの3つのラインのセキュリティ修正版を公開しました。新しい版は26.12.1、24.22.1、22.23.4で、最も深刻な問題はどのラインでもHIGH（高）です。TLS、DNS、HTTP、暗号（crypto）、Brotliの展開処理などにかかわる修正が入っています。公式のお知らせでは、HIGHのうちBrotliの展開処理の不具合（CVE-2026-111497）について、範囲外への書き込みによりリモートでコードを実行されるおそれがあるとしています。
- 影響するところ：Next.jsなどでサイトやツールを作っている人、Node.jsでAPIサーバーやボットを動かしている人です。ふつうのWordPressサイトは、通常Node.jsを使いません。
- すること：使っている版を確かめ、26.12.1、24.22.1、22.23.4のいずれかに上げます。20.xや25.xなど、サポートが終わった版には修正版が出ないため、サポート中のラインに移します。
直ったCVEの一覧は、Node.jsの脆弱性の記事で整理しています。
WordPressのプラグイン（UpdraftPlus・Duplicator）
バックアップ用プラグイン「UpdraftPlus」の運営元TeamUpdraftは、10月19日（英国時間）に、自社サイトへの不正アクセスを公表しました。UpdraftCentral（クラウド版）などの接続キーや、氏名、メールアドレス、ハッシュ化されたパスワードなどが流出したおそれがあります。プラグイン本体と、外部に保存したバックアップは影響しないとしています。
バックアップ・移行用プラグイン「Duplicator」と有料版の「Duplicator Pro」には、CVSS 8.8の脆弱性CVE-2026-82814が見つかりました（Wordfenceの公表）。ログインしていない人がコメント欄などに値を仕込んでおくと、管理者がそのあとにサイトを移行したときに動くものです。無料版1.5.17以前とPro版4.6.10以前が対象で、5.0.0で修正されています。
- UpdraftPlus：無料版1.26.13／プレミアム版2.26.13以上に更新し、「設定」→「UpdraftPlus」→「詳細ツール」→「UpdraftCentral」で接続キーを削除します。見覚えのない管理者やプラグインがないかを確かめ、管理者のパスワードを変えます。詳しくはUpdraftPlusの記事をご覧ください。
- Duplicator：版が5.0.0以上か確かめ、古ければ更新します。古い版で作ったパッケージで移行やインポートをする前に、更新した版でパッケージを作り直します。詳しくはDuplicatorの記事をご覧ください。
まだわかっていないこと
- GitLabのCVE-2026-110264が実際に悪用されているかどうかと、攻撃が成り立つ具体的な条件は、GitLabのお知らせには書かれていません。GitLabは、詳しい内容を修正から90日後に公開するとしています。
- Tomcatの8件とNode.jsの修正について、実際の悪用があるかどうかは、それぞれの公式の発表には書かれていません。
- さくらのレンタルサーバ・マネージドサーバの新規申し込みを再開する時期は、まだ発表されていません。
出典
- php.net「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
- php.net「Supported Versions」
- GitLab「GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13」（2026年10月21日）
- CVE.org「CVE-2026-110264」
- CVE.org「CVE-2026-99999」
- さくらインターネット「【重要】Linuxカーネルの脆弱性（CVE-2026-99999）に関する当社サービスへの影響について（2026年10月20日19:15追記）」（2026年10月16日）
- さくらのサポート情報「さくらのレンタルサーバ・マネージドサーバ新規申し込み受付停止のお知らせ」（2026年10月16日）
- Apache Tomcat「Apache Tomcat 11 vulnerabilities」
- Apache Tomcat「Apache Tomcat 10 vulnerabilities」
- Apache Tomcat「Apache Tomcat 9 vulnerabilities」
- Node.js「Wednesday, October 21, 2026 Security Releases」
- TeamUpdraft「TeamUpdraft security incident: What customers need to know」（2026年10月19日、10月20日更新）
- Wordfence「Wordfence Argus Discovers High Severity Unauthenticated PHP Object Injection in Duplicator」（2026年10月20日）
