PHP 脆弱性 CVE-2026-109618 対策と更新準備

PHPの緊急更新の予告が出ています。
自社サイトのこととなると、まず「うちも関係あるの？」が気になりますよね。

迷う理由は、サイトの更新とサーバーの更新の違いが見えにくいからだと思っています。

自社サイトの担当者に向けて、今回の影響と、今すぐ進めたい対策をまとめました。

PHP本体に緊急の脆弱性2件

PHPセキュリティチームは2026年10月20日、緊急の脆弱性2件の修正を予告し、21日に修正版を公開しました。
深刻度は両方ともCVSS v4.0で9.2です。

対象	修正版
CVE-2026-109618 / CVE-2026-109619	PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35（2026年10月21日公開）

WordPressやプラグインの更新だけでは直りません。サイトを動かすPHP自体の更新が必要です。

PHPの発表によると、対象はWebのリクエストを処理するすべてのPHPです。
PHP-FPM、Apacheのmod_php、php-cgiなどが含まれ、特にmod_phpの危険が高いとされています。

サポート中なのはPHP 8.2・8.3・8.4・8.5です。
サポート終了版は修正版を待つ前提にせず、対応中の系列への移行を進めましょう。PHP 8.1以前には、PHPの開発元から修正版が出ません。

CERT-EUが警戒するのは、認証なしのリモートコード実行です。
外部の人がログインせず、サーバーで勝手にプログラムを動かせるおそれを指します。

侵入を許すと、サイトの改ざんや不正なページの設置、保存した顧客情報の漏えいにつながります。
IPAも、他サイトを攻撃する踏み台にされる危険を挙げています。
自社だけで済まないことが、対応を急ぐ理由です。

まず、自社で運営しているサイトと、それぞれのサーバー・管理担当者を書き出します。コーポレートサイトのほかに、採用サイトやキャンペーンサイトなど、別のサーバーで動いているものも忘れずに。

WordPressでは「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPバージョンを確認できます。
WordPress以外のサイトは、サーバーの管理画面で確認できます。

管理画面が見られないときは、次の1行だけを書いたファイル（例：phpversion.php）をサイトに置き、ブラウザで開くとバージョンが表示されます。

<?php echo phpversion();

確認が終わったら、このファイルはすぐに削除してください。サーバーの情報を、外から見られるままにしないためです。

利用環境	進めること
レンタルサーバー	サーバー会社のお知らせで、修正版の提供・適用の予定を確認する
VPS・自社サーバー	管理者が提供元の修正情報を確認し、PHPパッケージを更新する

管理画面でPHPのバージョンを自分で切り替えられる場合は、先にバックアップを取り、テーマやプラグインが新しいバージョンに対応しているかを確かめます。
そのうえで、サーバー会社のマニュアルの手順で切り替えます。選ぶのは、今回の修正が入ったサポート中のバージョン（8.2〜8.5）です。

すぐ修正できない場合は、公開停止も検討してください。CERT-EUは、修正を適用できるまで公開ネットワークから隔離することを勧めています。

切り替えたら、もう一度PHPのバージョンを確認し、修正版（8.5.12・8.4.27・8.3.36・8.2.35）以降になっているかを確かめます。
レンタルサーバーで細かい番号まで表示されない場合は、サーバー会社のお知らせで修正の適用を確認しましょう。

あわせて、サイトの表示と、問い合わせフォームの送信・受信も確認しておくと安心です。

更新の相談には、サイト名と利用中のPHPバージョンが手掛かりになります。
サーバー・管理担当者と一緒に一覧にしておくと、修正版の適用予定を問い合わせるときに使えます。

PHPの公式発表（修正版の公開時点）／2026年10月21日に確認

今のサイトに同じような弱点が残っていないかは、サイト安全性診断で、URL を入れるだけで確かめられます。