ブログ
2026年10月21日、ホームページや業務システムで広く使われているプログラムの言語「PHP」に、重大な脆弱性が2件あると公表されました。
同じ日には国家サイバー統括室がXで修正の準備を呼びかけ、その夜には高市首相も自身のXで呼びかけています。
この記事では、何が起きたのか、どんなサイトが関係するのか、まず何を確かめればよいのかを、10月27日時点の公開情報からまとめます。
読み手は、自社のホームページや業務システムを、制作会社やレンタルサーバーに任せている会社の方です。
何が起きたのか
- 10月21日：PHPの開発元が、2件の脆弱性(CVE-2026-109618、CVE-2026-109619)を直した版を公開
- 10月21日：国家サイバー統括室と首相が、Xで修正の準備を呼びかけ
- 10月22日：JPCERT/CC と IPA(情報処理推進機構)が注意喚起を公表
- 10月23日：開発元が、条件のそろった場合に限る別の脆弱性(CVE-2026-115560)を告知
- 10月26日：米国の CISA が、実際に悪用されている脆弱性の一覧に2件を追加
深刻度は、10点満点で9.2と評価されています。
悪用されると、ログインしていない第三者が、外からサーバーの上でプログラムを動かせるおそれがあります。
JPCERT/CC によると、悪用できるとうたうプログラムが多数公開され、悪用を試みる通信を観測したという報告も相次いでいます。
どんなサイトが関係するのか
PHPは、ホームページを動かす仕組みとして、長く広く使われてきました。
たとえば、次のようなものです。
- WordPress で作ったホームページ
- レンタルサーバーで動いている、問い合わせや予約のフォーム
- PHPで作った、会員向けのページや社内の業務システム
今回の脆弱性は、ホームページへのアクセスを受け付けるPHPの動かし方の、ほとんどが対象です。
「ホームページを置いているだけ」の会社でも、その裏でPHPが動いていることは珍しくありません。
直った版と、直らない版
直った版は、次の4つです。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
これより前の版を使っているなら、更新が必要です。
注意したいのは、PHP 8.1 以前(7系を含む)です。
この版は開発元のサポートがすでに終わっていて、ふつうの更新版は出ません。サポートの続いている版へ移るのが基本です。
また、PHP 8.2 も、2026年12月31日にサポートが終わる予定です。
まず確かめたい3つのこと
- 自社のサイトや業務システムで、PHPが動いているか
- 動いているなら、PHPの版はいくつか
- 更新は誰がするのか(レンタルサーバーの会社か、制作会社か、自社か)
3つ目は、意外と答えにつまる所です。
レンタルサーバーの会社が更新してくれる場合もあれば、PHPの版の切り替えは契約者が管理画面で行う場合もあります。
開発元は、設定で被害を小さくする方法も案内していますが、更新の代わりにはならないとしています。
IPAは、更新や移行が終わるまでのあいだ、サービスを一時的に止める必要があるかを判断するよう呼びかけています。
次の記事では
次の記事では、ネットショップ(ECサイト)を運営している方に向けて、ショップの作り方ごとに確かめることを紹介します。
その次は、同じ時期に起きた証券会社やGMOのサービスの停止から、外に預けている仕組みの守り方を考えます。
私たちがお手伝いできること
私たちWy-at.Technologiesは、名古屋を拠点に、中小企業のITと技術のご相談を受けています。
「PHPが動いているか分からない」「制作会社と連絡が取れない」といったところから、ご相談いただけます。
気になる方は、お問い合わせからご連絡ください。
出典(10月27日時点で確認)
