# PHPの重大な脆弱性（2026年10月）とは？ 影響と、今すぐやること

> 正式なページ: https://kakuyasuhp.com/column/php-vulnerability-2026.html／最終更新: 2026-10-22

運営: 格安HP屋（〒101-0051 東京都千代田区神田神保町3丁目11番6号 神保町ビル10階／050-3109-3399／info@kakuyasuhp.com）

分類: 運用・法務（テーマ: 運用・保守・法務）／公開: 2026-10-22／更新: 2026-10-22／読む時間の目安: 約12分／執筆: 格安HP屋 編集部

## この記事の結論

2026年10月21日の夜11時ごろ（日本時間）、多くのホームページを動かしている「PHP」に、深刻度が10点中9.2の脆弱性2件を直す修正版が出ました。守り方はひとつで、PHPを修正版に更新することです。格安HP屋は、保守管理プランのお客様と、これまでに制作したホームページのすべてを、翌朝10月22日9時30分までに無償で更新しました。この記事では、何が起きたのか、自分のサイトは大丈夫か、何をすればよいかを順にまとめます。

## 結論｜PHPを修正版に更新すれば防げる

今回の脆弱性は、PHPを修正版（8.5.12・8.4.27・8.3.36・8.2.35）に更新すれば防げます。PHPの開発元は「完全な応急処置は無く、更新だけが安全」としています。

やることは3つです。まず、サーバーの管理画面で今のPHPの版を確かめます。次に、修正版に更新します（サーバー会社が入れてくれる場合もあります）。最後に、サイトが正しく表示されるかを確かめます。8.1以前の版には、開発元から新しい版としての更新が出ないので、サポートが長く残る8.3以降の系列に移るのが確実です。

格安HP屋では、保守管理プランのお客様と、これまでに制作したホームページのすべてについて、修正版の公開（10月21日の夜11時ごろ）から翌朝10月22日9時30分までに更新を終えました。費用はいただいていません。くわしくは[お知らせ](https://kakuyasuhp.com/news-detail.html?slug=php-security-2026-10)に書いています。

![夜の部屋で、盾のマークが映ったノートパソコンに向かい、ホームページの更新作業をしている人のイラスト](https://kakuyasuhp.com/assets/column/php-vulnerability-2026-illust.jpg)

![この記事のポイント：守り方はPHPを修正版に更新すること／8.1以前は新しい版が出ず移行が必要／格安HP屋は翌朝までに全サイト無償対応](https://kakuyasuhp.com/assets/column/php-vulnerability-2026-1.jpg)

## 何が起きたか｜予告から公開まで2日の出来事

PHPの開発元は10月20日（現地時間）に「重大なセキュリティの修正を出す」と予告し、翌21日に修正版を公開しました。前日に予告したのは、利用者が更新の準備をしておけるようにするためです。

時間の流れを並べると、次のとおりです。

- 10月20日（現地時間）：PHPの開発元が、重大な脆弱性2件の修正を21日に出すと予告（深刻度は2件とも10点中9.2）
- 10月21日：IPA（情報処理推進機構）が「事前準備のお願い」を出し、公開は日本時間23時の予定と案内
- 10月21日23時ごろ：修正版の8.5.12・8.4.27・8.3.36・8.2.35が公開
- 10月22日9時30分：格安HP屋が、制作したホームページすべての更新を完了

![10月20日の予告、10月21日のIPAの注意喚起と23時の修正版の公開、10月22日9時30分の格安HP屋の対応完了を並べた時系列の図](https://kakuyasuhp.com/assets/column/php-vulnerability-2026-chart-timeline.jpg)

PHP公式・IPAの発表をもとに作図（2026年10月22日確認）

もともとは22日に出す予定でしたが、20日に脆弱性の番号がネット上に出回ったため、1日早めて21日に公開されました（PHPを支える財団「PHP Foundation」の説明）。Linuxのディストリビューション（サーバーの土台のソフトをまとめて配る組織）や長期サポートの提供元には、公開の前に修正が渡されていました。サーバー会社によっては、公開と同時に修正を入れられる仕組みです。

弱点そのものは、2026年8月に研究者から開発元へ報告され、2か月ほどかけて直されました。どうやって見つかり、なぜ公開まで伏せられていたのかは、[脆弱性はどうやって見つかるか](https://kakuyasuhp.com/column/zeijakusei-hakken.html)にまとめています。

国内のレンタルサーバーでも、対応が一気に進みました。ロリポップ！は修正版の公開に先立ち、予防のための緊急メンテナンスに入りました。エックスサーバーは、10月22日6時45分の時点で、8.2〜8.5の修正を対象のすべてのサーバーに当て終えたと発表しています。IPAも公開の前日に、サポートが終わった古いPHPを使い続けている環境は、極めて短い時間で攻撃されるおそれがあると注意を呼びかけていました。

## どんな弱点か｜外から命令を動かされるおそれ

2件とも、外からホームページのサーバーに命令を送り込まれ、勝手に動かされるおそれがある弱点です。専門用語では「遠隔からのコード実行」と呼ばれ、脆弱性の中でもいちばん重いものの一つです。

中身をかみくだくと、次のとおりです。

| 番号 | どこに弱点があったか | 何ができてしまうか |
|---|---|---|
| CVE-2026-109618 | メモリが足りなくなったときの後片付けで、書きかけのデータを正しいものとして扱ってしまう | 外から命令を動かされるおそれ |
| CVE-2026-109619 | 使い終わったはずのデータが残り、次のアクセスの処理で使われてしまう | 外から命令を動かされるおそれ |

開発元によると、Apacheの「mod_php」という動かし方では、ログインなしの1回のアクセスで攻撃が始まることが確かめられています。広く使われる「PHP-FPM」でも、条件しだいで命令を動かせることが確認されました。米国のサイバーセキュリティの政府機関CISAは、この脆弱性を「php2shell」と呼び、すぐに更新するよう呼びかけています。

深刻度は、脆弱性の重さを0〜10点で表す「CVSS」という物差しで、2件とも9.2点です。9.0点以上は、いちばん上の「緊急（クリティカル）」にあたります。攻撃の条件はやや難しいとされていますが、ネット越しに、ログインも利用者の操作もなしに攻撃できる点が、点数を押し上げています。

![脆弱性の深刻度を0から10点で表す物差しの図。9.0点以上が緊急で、今回の2件は9.2点](https://kakuyasuhp.com/assets/column/php-vulnerability-2026-chart-cvss.jpg)

CVSS v4.0の区分をもとに作図。今回の2件はPHP公式の発表で9.2点

命令を動かされると、ページの書き換え、不正なページの設置、ほかのサイトへの攻撃の踏み台など、サイトを乗っ取られたのと同じことが起こりえます。どんな被害につながるのかは、[ホームページが乗っ取られるとどうなるか](https://kakuyasuhp.com/column/hp-nottori.html)にまとめました。

## どのサイトが対象か｜PHPで動くサイトは、ほぼすべて

PHPで動くホームページは、動かし方を問わず、ほぼすべてが対象です。WordPressで作ったサイトも含まれます。

W3Techsの2026年10月21日の数字では、サーバー側の言葉が分かるウェブサイトの69.3%がPHPで動いています。WordPressは、世界のウェブサイトの39.6%で使われています。対象の広さが、今回の件が大きく報じられた理由です。

PHPの開発元は、ウェブのアクセスを処理するPHPはすべて危ないとしたうえで、動かし方ごとに次のように説明しています。

| 動かし方 | 開発元の説明 |
|---|---|
| Apacheのmod_php | いちばん危ない。ふつうの設定のまま、ログインなしの1回のアクセスで攻撃が成功することを確認 |
| PHP-FPM | アプリの処理を通じて、命令を動かせることを確認 |
| php-cgi・FrankenPHP・LiteSpeed | 対象として名前が挙がっている |

自分のサーバーがどの動かし方なのかは、レンタルサーバーの利用者には分かりにくいものです。動かし方で安全かどうかを考えるより、修正版に更新するほうが確実です。

## どの版が危ないか｜8.1以前は新しい版が出ない

PHPの開発元が修正版を出したのは8.2〜8.5の4つの系列で、8.1以前には新しい版としての更新が出ません。古い系列のままのサイトは、サポートが長く残る8.3以降の系列に移すのが確実です。

| 使っている系列 | 更新先の修正版 | ひとこと |
|---|---|---|
| PHP 8.5 | 8.5.12 | 同じ系列の中で更新 |
| PHP 8.4 | 8.4.27 | 同じ系列の中で更新 |
| PHP 8.3 | 8.3.36 | 同じ系列の中で更新 |
| PHP 8.2 | 8.2.35 | 2026年12月31日でサポートが終わるので、早めに新しい系列へ |
| PHP 8.1以前 | 新しい版は出ない | サポート中の系列（8.3以降など）へ移すのが確実 |

今回は深刻さから、開発元が7.4・8.0・8.1向けにも最小限の修正を出しましたが、これはソースコードから自分で組み立てる人向けのものです。サーバーの土台のソフトの提供元が、古い系列に修正を当てていることもあります。その場合も、自分の契約で本当に修正が入っているかは、提供元に確かめる必要があります。版ごとのサポート期限は、[PHPのバージョンの確かめ方とサポート期限](https://kakuyasuhp.com/column/php-version.html)に早見表を載せています。

## 今すぐやること｜確かめる・更新する・表示を見る

ホームページを持っている会社がやることは、版の確認、修正版への更新、表示の確認の3つです。WordPressのサイトなら、ついでに本体とプラグインも最新にしておくと安心です。

1. 今の版を確かめる：レンタルサーバーの管理画面の「PHPのバージョン」の項目か、WordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」で確かめます。
2. サーバー会社のお知らせを読む：修正版を自動で入れてくれるのか、利用者が版を選び直すのかが書いてあります。
3. 修正版に更新する：同じ系列の中の更新なら、作りは変わりません。系列をまたぐときは、先にバックアップを取ります。
4. 表示とお問い合わせフォームを確かめる：トップ、よく見られるページ、フォームの送信を、パソコンとスマホで見ます。
5. WordPressとプラグインも最新に：PHPだけ新しくても、ほかの部品が古いと別の入り口が残ります。

8.2を使っている場合は、今回の修正版（8.2.35）に更新したうえで、年内に8.3以降の系列へ移る計画も立ててください。8.2は2026年12月31日で安全の修正も終わり、年が明けると今回のような修正は出なくなります。

作業に自信がないときは、無理に触らず、作った会社か保守を頼んでいる会社に相談してください。版を変えてサイトが真っ白になる、といったことも起こりえます。

## 更新できないときは｜応急処置は「不完全」

PHPの開発元は、すぐに更新できない場合の設定の変え方を示していますが、どれも不完全で安全にはならないとしています。応急処置は、更新までの時間かせぎと考えてください。

開発元が示しているのは、メモリの上限の設定や、アップロードの進み具合を記録する機能を止める設定などです。どれもサーバーの設定に手を入れる作業で、ふつうのレンタルサーバーの利用者が自分で触れる範囲を超えることもあります。

しかも、これらの設定はphp.iniなどサーバー側の設定で行う必要があり、利用者が置ける.user.iniや、プログラムの中のini_set()では効かないとされています。米国のCISAも、すぐに更新できない場合は、サポートが終わった8.1以前も含めて、止めることを考えるよう呼びかけています。更新までの間は、WAF（ウェブアプリケーションの防火壁）が一定の守りになりうるとも書いています。

「うちは小さな会社だから狙われない」と考えるのも危険です。攻撃には、弱点のあるサーバーを機械で探して、手当たりしだいに試すものが多くあります。どんな原因で乗っ取られることが多いのかは、[ホームページのハッキングの原因](https://kakuyasuhp.com/column/hacking-genin.html)にまとめています。

![格安HP屋の制作の流れ：1 無料相談、2 お見積り（税込・追加料金なし）、3 初稿を動くHTMLでパソコンとスマホで確認、4 修正（制作中は回数無制限）、5 公開（納品後30日の無償サポート）](https://kakuyasuhp.com/assets/column/php-vulnerability-2026-2.jpg)

## 格安HP屋に頼むと｜翌朝までに、無償で全サイトを更新

格安HP屋では、修正版の公開から翌朝の10月22日9時30分までに、制作したホームページすべてのPHPを更新しました。保守管理プランをご契約でないお客様も含めて、費用はいただいていません。

- 対象：保守管理プランをご契約のお客様と、これまでに格安HP屋が制作したホームページのすべて
- 完了：10月22日9時30分（修正版の公開から、翌朝までに）
- 費用：無償
- お客様の作業：ありません

ふだんの保守は、月額0円で必要なときだけご依頼いただく形が基本です。WordPressやプラグインの更新、サーバーのセキュリティの確認、定期的なバックアップまでまかせたい場合は、月額2万円（税込）の保守管理プランがあります。最低契約期間はないので、必要な時期だけ使うこともできます。

これからホームページを作る方には、新規制作25万円・リニューアル30万円（どちらも税込・追加料金なし）で、テンプレートを使わないオリジナルのデザインを作っています。初稿は、パソコンとスマホで実際に開ける動くHTMLでお見せします。ご相談は[お問い合わせ](https://kakuyasuhp.com/contact.html)からどうぞ。

## まとめ｜PHPの更新は、早いほど安全

今回のPHPの脆弱性は、修正版に更新すれば防げますが、8.1以前の古い版には新しい版としての更新が出ません。修正の中身が公開されると攻撃の手がかりになるので、更新は早いほど安全です。

- 2026年10月21日、深刻度9.2の脆弱性2件を直す修正版（8.5.12・8.4.27・8.3.36・8.2.35）が出た
- 外から命令を動かされるおそれがあり、守り方は更新だけ
- 8.1以前は新しい版が出ないので、サポートが長く残る8.3以降の系列へ移す
- 版の確かめ方とサポート期限は[こちら](https://kakuyasuhp.com/column/php-version.html)、日ごろの守り方は[セキュリティ対策の基本](https://kakuyasuhp.com/column/security-taisaku.html)へ

出典：[PHP公式のお知らせ（2026年10月20日・21日）](https://www.php.net/archive/2026.php)、[PHP Foundationのブログ（2026年10月21日）](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)、[CISAの注意喚起（2026年10月21日）](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching)、[JVN「JVNVU#99905564」（2026年10月22日）](https://jvn.jp/vu/JVNVU99905564/index.html)、[IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）](https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html)。いずれも2026年10月22日に確認。

## よくあるご質問

### Q. 自分のホームページがPHPで動いているか、どう確かめればいいですか？

WordPressで作ったサイトなら、PHPで動いています。レンタルサーバーの管理画面の「PHPのバージョン」の項目で、使っている版を確かめられます。WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」でも、サーバーの欄にPHPの版が出ます。

### Q. 修正版に更新すると、サイトが壊れることはありますか？

同じ系列の中の更新（たとえば8.3.35から8.3.36）なら、作りが変わらないので、表示が崩れることは少ないです。8.1から8.3のように系列をまたぐときは、テーマやプラグインが対応しているかを先に確かめます。

### Q. レンタルサーバーを使っていれば、自動で直りますか？

サーバー会社によって違います。たとえばエックスサーバーは、10月22日6時45分の時点で、8.2〜8.5の修正を対象のすべてのサーバーに当て終えたと発表しました。利用者が管理画面で版を選び直す必要がある場合もあるので、お使いのサーバー会社のお知らせを確かめるのが確実です。

### Q. 今回の脆弱性で、もう被害は出ていますか？

公開の時点では、PHPの開発チームも米国のCISAも、悪用は確認していないとしていました。ただ、米国のセキュリティ会社watchTowrは、10月21日から実際の悪用を観測したと書いています。修正の中身が公開されると攻撃の手がかりになるので、早めの更新が大事です。

### Q. 格安HP屋で作っていないサイトでも相談できますか？

はい、ご相談とお見積もりは無料です。サーバーの種類や今の版を伺ったうえで、どう進めるのがよいかをお伝えします。

## あわせて読みたい

- [ホームページのハッキングの原因は？PHP・プラグイン・パスワード](https://kakuyasuhp.com/column/hacking-genin.html)
- [ホームページが乗っ取られるとどうなる？被害と影響](https://kakuyasuhp.com/column/hp-nottori.html)
- [ホームページの更新・運用のコツ｜公開後が本番](https://kakuyasuhp.com/column/hp-unyo.html)