ひとことで言うと
ホームページのシステムを動かす「PHP」に、外部から不正なコードを実行される恐れのある深刻な弱点が見つかりました。JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）は、被害を防ぐために修正済みバージョンへの速やかなアップデートや設定変更を行うよう呼びかけています。
何が発表されたのか
JPCERT/CCの発表によると、The PHP Groupが2026年10月21日および10月23日に、PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619、CVE-2026-115560）に関するアドバイザリを公表しました。これらの脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される恐れがあります。JPCERT/CCでは、国内で広く利用されている製品であることから注意を喚起しており、10月26日の更新では、実証コードの公開や悪用を試みる通信の観測が相次いでいることが明らかにされています。
製品・サービスの中身
対象となるPHPのバージョン
今回の脆弱性の影響を受けるのは、PHP 8.5.12より前の8.5系、PHP 8.4.27より前の8.4系、PHP 8.3.36より前の8.3系、PHP 8.2.35より前の8.2系バージョンです。また、PHP 8.1以前のバージョンはすでに通常のサポートが終了しているためアップデートが提供されませんが、開発者は深刻さを考慮し、PHP 7.4、8.0、8.1向けに最小限の緩和策を提供しています。
脆弱性の詳細と影響
CVE-2026-109618およびCVE-2026-109619は深刻なリモートコード実行の脆弱性であり、悪用できると主張する実証コードが多数公開されています。実際に任意のコードを実行できるかはPHPのバージョンやメモリ配置などの条件に依存しますが、攻撃の手法が広がる恐れがあります。また、CVE-2026-115560は特定の設定とアプリケーションコードの組み合わせで発生するもので、こちらも任意のコード実行につながる可能性があります。
侵害調査の推奨
発見者らが公開している情報に基づき、過去のHTTPレスポンスにおける不自然なPHPSESSID Cookieの設定や、不審なmultipart/form-data形式のリクエストがないかなど、過去に攻撃を受けていないかを調査することが推奨されています。ただし、痕跡が残らない場合もあるため、継続的な監視が必要です。
スペック・価格の早見表
| 項目 |
内容 |
出典 |
| 対象製品 |
PHP 8.2系、8.3系、8.4系、8.5系など |
JPCERT/CC |
| 主な脆弱性ID |
CVE-2026-109618、CVE-2026-109619、CVE-2026-115560 |
JPCERT/CC |
| 対策 |
修正済みバージョンへの更新、緩和策の適用 |
JPCERT/CC |
| 発表日 |
2026年10月22日（10月26日更新） |
JPCERT/CC |
従来との違い・注意点
今回の問題では、単にアップデートを適用するだけでなく、バージョンに応じた環境の調整や検証が必要です。また、CVE-2026-115560などの脆弱性に対しては、修正済みバージョンが提供されるまでの間、「session.upload_progress.enabled=0」に設定してすべてのワーカーを再起動するという緩和策が案内されています。ただし、緩和策は特定の攻撃経路への対処にとどまるため、根本的な解決にはアップデートが不可欠です。
自分に関係ある？
PHPを使って構築されたWebサイトやブログ、社内システムを運営している事業者、Webエンジニア、サーバー管理者にとって非常に大きな関係があります。個人でインターネットを閲覧するだけのユーザーには直接の作業はありませんが、利用しているサービス側が対応していない場合、間接的に影響を受ける可能性があります。事業者は、自社システムが対象バージョンを使用していないか早急に確認する必要があります。
買える・使えるか
まとめ
PHPの複数の脆弱性はすでに悪用の試みが観測されており、放置すると大きなリスクにつながります。管理者は速やかに最新の修正済みバージョンへの更新を行い、システムに異常がないかの侵害調査を実施することが強く推奨されます。
