プログラミング言語PHPのセキュリティーチームは10月21日、認証なしで遠隔からコードを実行されるおそれがある重大な脆弱性2件について、修正版を公開しました。 識別番号はCVE-2026-109618とCVE-2026-109619です。修正が入った版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。Google Cloudの整理では、いずれもCVSSの基本深刻度がCritical（9.2）とされています。PHP 8.1以前はサポート終了のため上流の修正は出ず、8.2以降への移行が求められています。

CVE-2026-109618は、メモリ不足の処理の途中で内部データが不完全なまま残り、後の掃除処理がそれを正しいものとして扱う問題です。CVE-2026-109619は、ある要求の内部状態が解放されたあとも残り、同じ作業プロセスが次の要求で古い状態を使ってしまう問題です。どちらも、ほぼすべての要求が触れるメモリ管理とエラー処理の近くにあり、条件が揃うと遠隔コード実行につながる、とPHP財団やGitHubの勧告で説明されています。攻撃手順の細部は、この記事では再現しません。

欧州連合のサイバー当局（ENISA）などは共同声明で、組織に直ちに更新するよう勧告し、すぐ直せない場合は公開ネットワークから隔離するよう求めています。BBCは、フィンランド政府の公共ウェブサービス停止、オランダのサイバー機関の自サイト休止、英エディンバラ市議会やBBCの一部ページのオフラインを伝えています。米NSAもソーシャルメディアで、修正できない場合はオフラインを促した、と報じられています。Wiz Researchは、インターネットの「約70％」が影響を受けると推定した、とBBCは紹介しつつ、BBC自身は数字を検証できていない、としています。

発見には人工知能が使われました。BBCによると、セキュリティー企業CalifとWizの研究者が見つけ、OpenAIの「Patch the Planet」の取り組みとも関連しています。OpenAIは「近年で最も影響力の大きいセキュリティー問題の一つ」と説明した、と伝えられています。問題は10年以上見つからず、高度なAIを数週間使った結果、今年8月にようやく見つかった、という整理です。AIが発見を早めた一方で、公表前の詳細流出が対応を乱した、という二つの顔があります。

日本では、情報処理推進機構（IPA）が21日に事前準備を呼び掛け、国家サイバー統括室も注意喚起を出しています。高市早苗首相は同日夜、Xで「大至急のお願い」として修正パッチの速やかな適用を求め、難しい場合はサイトの一時停止も有効だと示しました。22日には自身の事務所サイトを遮断したと記者団に述べています。技術の修正版公開と、政治の緊急発信が同じ夜に並んだのが、日本側の特徴です。

運営者が今日確認すべきなのは、見た目のデザインではなく、本番で動いているPHPの版です。コンテナや複数サーバーでは、手元の開発環境だけ直しても本番は古いことがあります。ホスティング会社やCMS（WordPressなど）を使う場合は、自分でPHPを上げられるのか、提供元の更新を待つのかを分けます。ENISAは、PHPを表に出していない製品にも同梱されていることがある、としてNCSC-NLの一覧を参照するよう勧めています。

クラウドフレアの最高技術責任者は、すでに初期段階の攻撃を確認している、とBBCに述べた、と報じられています。初期攻撃があることと、日本国内の特定サイトが侵害されたことは、同じではありません。木原稔官房長官は、関係する被害の報告は受けていない、としています。報告がないあいだも、未修正の公開サイトは優先度の高い更新対象です。更新後は、プロセスの入れ替えや再起動まで含めて、古い版が残っていないかを確認します。

一般の利用者は、緊急メンテナンスでサイトが止まることがあります。止まること自体が、漏えいの確定ではありません。予防停止と、侵害後の停止は意味が違います。更新を装ってパスワードやファイル実行を求めるメールは、今回の公式対応ではありません。銀行や行政の案内は、自分で公式ドメインを開いて確認してください。

小規模事業者にとっては、制作会社への連絡が先です。サイト名、本番の適用状況、停止時間、利用者への案内の要否をセットで聞くと、抜けが減ります。停止の判断は、売上の損失と、侵害時の損失の比較になります。首相が一時停止を有効策と示したことは、その比較で停止側を選ぶときの説明材料になり得ます。なり得る、までで、業種ごとの正解は一つではありません。

続報の条件は、IPAや国家サイバー統括室の更新、ホスティング各社の提供状況、国内で確認された悪用の公式発表です。悪用の詳細や、未修正ホストを探す手順は書きません。News.comは、修正版番号と公的な呼びかけ、被害報告の有無を日付付きで追います。

写真：サーバーとネットワークのイメージ（Unsplash）。特定の被害設備ではありません。

確認資料：PHP公式、ENISA共同声明、Google Cloudの案内、BBC、日本経済新聞、TBS、毎日新聞、ITmedia NEWS。

PHP 8.1以前を使い続けている場合、上流のパッチが来ない、という点が最大の落とし穴です。古い版のまま設定をいじってしのぐ、という判断は、今回の公式説明では「完全な緩和策はない」側に寄ります。寄った判断を取るなら、公開面からの隔離と、移行計画の期限をセットで持たないと、停止が長期化するだけです。長期化のコストと、移行のコストを、経営と技術で同じ表に載せる必要があります。

WordPressやDrupal、ECサイトのパッケージを使っている組織は、管理画面の「PHPの版」表示と、実サーバーの版が一致するかを確認してください。一致しない例は、表示だけ新しい、実体は古い、です。一致確認は、ホスティングのコントロールパネルや、サーバー担当の報告が正です。利用者のブラウザの表示からは分かりません。

国内の被害報告が「ない」段階でも、ログの保全は有効です。更新前のアクセス記録を消してしまうと、あとから不審な要求を追いにくくなります。保全は、個人情報を新たに集めることではなく、既存の運用ログを残すことです。残し方は各社の規程に従い、この記事が保管期間を指定するものではありません。

一次情報の優先順位は、PHP公式の修正版一覧、国家サイバー統括室とIPAの注意喚起、官房長官の被害報告の有無、各社の障害情報です。SNSの未確認の侵害リストは、公式と照合できない限り記事にしません。読者は、自分のサイトや契約サービスの担当窓口だけを連絡先にしてください。

共有ホスティングでは、利用者がPHPの版を選べない契約もあります。選べない場合は、提供元の緊急メンテ案内が唯一の公式ルートです。自分でバイナリを差し替える前提の手順を、契約外の第三者サイトから持ち込まないでください。持ち込んだ手順が、今回の修正と同じ保証を持つとは限りません。

監視やWAFの強化は、更新の代わりにはなりません。ENISAの整理でも、完全な緩和策はなく更新が本筋です。監視を厚くすることは、更新後の異常検知には役立ちますが、未修正のまま公開を続ける理由にはなりません。更新できない期間だけ公開を絞る、という組み合わせが、今回の国際的な呼び掛けに近いです。

続報で注目するのは、ホスティング各社がいつ修正版を載せたか、CMSの配布元がどの案内を出したか、です。版が載っても、利用者がクリックして適用するまで本番は古いまま、という構成もあります。載ったことと、適用済みを混同しないでください。

Huntressなど海外の解説では、WordPress、Drupal、Joomla、Magento、共有ホスティング、コントロールパネルの裏側にPHPがある、と指摘されています。表札にPHPと書いていない製品でも、中身をメーカーの案内で確認する必要があります。分解して版を調べるより、メーカーの対象リストを見る方が安全です。

Sophosの専門家は、パッチを入れるだけでなく、PHPが動いている場所をすべて見つけることが課題だ、とBBCに述べた、と報じられています。見つける作業は、資産台帳がない組織ほど時間がかかります。時間がかかる組織ほど、一時停止の選択肢が現実味を帯びます。現実味を帯びることと、無期限の閉鎖は違います。再開の条件は、修正版の適用確認です。

CERT-EUは、認証なしの遠隔コード実行の可能性を示している、とリスクを評価した、とBBCは伝えています。マルウェアのインストールやサイトのダウンにつながる可能性がある、という整理です。可能性を、国内の被害確定と読み替えないでください。確定は、官房長官の報告や、個別事業者の公式発表がある場合に限って書きます。

まとめ

PHPの重大な脆弱性2件で、世界のサイト休止が広がり、日本では首相と国家サイバー統括室が修正と一時停止を呼びかけました。修正版は8.5.12／8.4.27／8.3.36／8.2.35です。運営者は本番の版確認を急いでください。