2026年10月21日夜、PHP の開発元が、認証なしで外部からコードを実行されるおそれのある重大な脆弱性2件を修正した版を公開しました。対象は PHP 8.2 から 8.5 までの4系統で、それより前の版はすべて影響を受けます。共用サーバーで WordPress を運用している場合、利用者が確認するのは「自分のサイトがどの系統の PHP で動いているか」と「サーバー会社が更新を済ませたか」の2点です。
この記事は、10月22日朝の時点で php.net、GitHub の勧告、IPA、サーバー会社各社のお知らせ、国内の報道から確認できたことを整理したものです。確認できていないこと、情報源によって食い違っていることは、そのまま書いています。攻撃の手順は書きません。
- 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。それより前の版はすべて影響を受け、8.1 以前には通常の更新版が出ません。
- 共用サーバーでは PHP 本体の更新はサーバー会社が行います。利用者が決められるのは、どの系統(8.2〜8.5)を使うかです。
- 実際に攻撃が成立しているかは、10月22日朝の時点で情報源によって見方が分かれています。「確認していない」と「初期の攻撃を観測した」の両方があります。
何が起きたか ── 10月21日夜、PHP 4系統の修正版が公開された
公開されたのは PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 の4つで、PHP 公式は全ユーザーに即時の更新を求めています。前日の10月20日に事前告知があり、公開予定は 10月21日 14:00 UTC(日本時間 23:00)、2件とも CVSS v4.0 で 9.2 と予告されていました。実際の公開時刻は情報源によって 22時前後から 23時近くまで差があるため、この記事では「10月21日夜」としています。
| CVE | どんな不具合か | 深刻度 |
|---|---|---|
| CVE-2026-109618 | メモリ不足時の処理で、初期化の途中にあるリクエストのデータを、後片付けの処理が正しいものとして扱ってしまう。ファイルアップロード形式(マルチパート)の送信で引き起こせる | Critical / CVSS v4.0 9.2 |
| CVE-2026-109619 | 前のリクエストの内部状態が、メモリを解放した後も残り、次のリクエストで使われる(use-after-free)。情報漏えいも確認されている | Critical / CVSS v4.0 9.2 |
影響を受けるのは、PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed など、Web で動く PHP 全般です。このうち mod_php がもっとも危険で、既定の設定のままでもアプリのコードが動く前に攻撃が成立するデモがあります。PHP-FPM で完全な攻撃が成立したデモは示されていません。報告者は Calif(LCFR)、Wiz、OpenAI ほかで、Calif と Wiz は調査に AI を使ったと公表しています。
サポートが切れた版には、通常の更新が出ない
PHP 8.1 以前は公式のサポートが終わっているため、通常なら更新版は出ません。今回は特例として、7.4 / 8.0 / 8.1 向けに最小限のソースコードの修正だけが公開されました。5.4 から 7.3 には修正がありません。なお、PHP 8.2 も 2026年12月31日でサポートが終わります。今回 8.2 で対応したサイトも、年内に 8.3 以上へ上げる計画が要ります。
攻撃は起きているのか ── 情報源によって見方が分かれている
「すでに攻撃が始まっている」という話と、「実際に動く攻撃は確認されていない」という話の両方が流れています。どちらか一方が嘘というわけではなく、見ている場所と時点が違います。10月22日朝の時点で確認できた範囲を、両側に分けて並べます。
- PHP Foundation は、公開時点で実際に動く攻撃コードを確認していない、と説明したと報じられている
- Red Hat は重要度を Important とし、実際のリモートコード実行は難しく、PHP-FPM では標準ではない設定が必要なことが多い、との見方
- 出回っている「動くとされる攻撃コード」は動作が未検証で、マルウェア入りの偽物の可能性も指摘されている
- Apache の mod_php では、既定の設定のままでも攻撃が成立するデモがある(実証デモ。実際の攻撃の観測ではない)
- Cloudflare の CTO が「初期の攻撃が出始めている」と発言し、WAF のルールを標準で適用した
- セキュリティ企業 watchTowr も、両方の CVE に対する攻撃の試みを観測したと報告
- セキュリティ企業の観測は「試み」であり、成立した攻撃の報告ではない
国内の公的機関では、IPA が10月21日に「事前準備のお願い」を公開しています。公開時点では悪用は未確認とされ、修正版の公開後の追記は、この記事の時点ではまだありません。報道では、子育て支援、EC、ゲーム、動画配信、金融、鉄道など、国内の複数の企業がサイトやサービスを一時停止したと伝えられています。
Xで起きていたこと ── 広まった話と、確認できたこと
今回は、修正版が出る前から X(旧Twitter)で情報が広まっていました。公開の時刻が近づくにつれて、根拠のはっきりしない数字や、誤解にもとづく投稿も増えました。個々の投稿を直接たどることはしていませんが、報道とセキュリティ企業のまとめで確認できた範囲を表にします。
| Xで広まった話 | 確認できたこと |
|---|---|
| 「CVSS 10.0 の脆弱性」 | 誤り。正しくは 9.2。PHP Foundation も否定している |
| 「23時にパッチが出たら、23時15分には乗っ取られる」「AIが15分で攻撃コードを作る」 | セキュリティ企業の警告が誇張されて広まったもの。あるブログの筆者が自分のVPSのログを確かめたところ、公開直後に攻撃は増えていなかった(サーバー1台だけの観測) |
| 「エックスサーバーの管理画面に入れない。やられた」 | 誤解。公式Xで、10月21日夕方から予防のため管理画面などを一時停止したと告知。サイトの表示とメールは通常どおり |
| 「WordPress を最新にすれば大丈夫」「php.ini の設定だけで防げる」 | どちらも誤り。直るのは PHP 本体の更新だけ |
| 「php2shell」という名前 | 発見した研究者側が X の投稿で付けた通称。攻撃デモの動画とあわせて広まった |
共通しているのは、事実そのものより、事実の「程度」が膨らんで伝わったことです。9.2 が 10.0 になり、「警戒が必要」が「15分で乗っ取られる」になり、「予防のための停止」が「被害が出た」になりました。
確認する場所は3つ。php.net の告知、GitHub の勧告、自分のサーバー会社のお知らせ。X は、その3つを読んだ後に見れば足ります。
共用サーバーの WordPress サイトはどうなるか
中小企業のホームページの多くは、レンタルサーバー(共用サーバー)で WordPress を動かしています。この構成では、PHP 本体を更新するのはサーバー会社の仕事です。利用者が管理画面で選べるのは、8.2 / 8.3 / 8.4 / 8.5 のどの系統を使うか、というところまでです。自分で PHP 本体を直すことはできません。
| サーバー会社 | 対応(各社のお知らせ・報道より) |
|---|---|
| さくらインターネット | レンタルサーバ・マネージドは 10月21日 13:00〜10月22日 8:00 ごろまで緊急メンテナンス(お知らせ) |
| ConoHa WING | 10月21日 19:00〜10月22日 10:00 緊急メンテナンス(お知らせ) |
| KAGOYA | PHP 8.2〜8.5 系は修正版を確認したうえで順次更新(お知らせ) |
| mixhost／カラフルボックス ほか | mixhost は更新完了、カラフルボックス・バリューサーバー・コアサーバーは 10月22日 0:00 以降に順次更新と案内 |
| エックスサーバー | 予防のため管理画面などを一時停止(公式X)。PHP の更新そのものの告知は、この記事の時点では確認していない |
注意が要るのは、PHP 8.1 以前の系統を選んだままのサイトです。公式が 8.1 以前の更新版を出していない以上、サーバー会社でも修正が入らないおそれがあり、利用者側で 8.2 以上へ切り替える必要があります。数年前に作ったまま触っていないサイトほど、この条件に当てはまります。
切り替えで壊れやすいのはプラグインとテーマです。更新が止まったプラグインや、独自に手を入れたテーマは、新しい PHP で警告やエラーを出すことがあります。WordPress 公式は、PHP の互換性の一覧で 8.4 と 8.5 への対応を「ベータ」としています。
いますぐ確認すること ── 5つ
WordPress サイトを持つ会社が今日のうちに確認することを、順番に並べます。
1 と 2 は、管理画面のログイン情報があれば社内でできます。3 以降は、サイトの作りを知っている人が行うほうが確実です。制作会社に管理を任せている場合は、「PHP の系統はいくつか」「修正版は入ったか」「切り替えが必要か」の3つを聞けば、現状が分かります。
管理を任せる会社が、こういう夜に何をしているか
公開の前日に予告が出て、夜に修正版が出る、という流れは、PHP に限らず起こります。そのたびに利用者が X を追い、管理画面を探し、どのバージョンかを調べるのは現実的ではありません。サイトの管理を任された会社がふだんから持っているものを、具体的に挙げます。
どれも特別な技術ではなく、ふだんの管理の延長です。
アルシオンでも、管理を任せていただいているサイトでは、上の6つを基準に確認しています。今回であれば、サーバー会社ごとのお知らせ、サイトごとの PHP の系統、8.1 以前のサイトの有無、切り替え時に壊れやすいプラグインの有無、の順です。確認した結果と、何をいつ行ったかは、お客様に伝える記録として残します。
ホームページを作るときに「公開後の管理を誰がするか」を決めておく意味は、こういう夜にはっきりします。依頼前に見ておく点は、「福山でWEB制作を頼む前に」で、成果を分ける見えない部分として整理しています。
参考にした一次情報・報道
- PHP 公式: 2026年10月21日のセキュリティリリース告知(php.net) / 10月20日の事前告知
- GitHub 勧告 GHSA-w8hw-w9fx-j79w(CVE-2026-109618) / GHSA-6wmf-4rv5-p3rp(CVE-2026-109619)
- IPA: PHP の脆弱性に関する事前準備のお願い(2026年10月21日)
- WordPress 公式: PHP の互換性と WordPress のバージョン
- ITmedia NEWS / gihyo.jp / 窓の杜 の報道
よくある質問
自社サイトの PHP の系統と、サーバー会社の対応状況を、一緒に確認するところから始められます。
