PHPの脆弱性公表が相次ぐ中で保守担当が優先順位を決める流れ

ティアA · 今日中にパッチ – 帰る前に対応

影響を受ける人： PHPを利用する数多くのWebサイト

ティアAの理由：基幹インフラまたは人気ツールかつ悪用確認済み

影響範囲

攻撃

被害

修正

人気ツール · 悪用確認済み · 認証不要のリモート攻撃 · 完全な乗っ取り

取るべき対応

修正バージョンの公開後、速やかにPHPへ適用する準備をする
速やかな適用が難しい場合はサイトの一時停止を検討する

要点

PHPで深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619、PHP2shell）が見つかった。
2026年10月21日夜11時に修正バージョンが公開される予定だった。
高市早苗首相が同日夜、Xで今夜の対応を大至急で呼びかけた。

なぜ重要か

PHPを使うWebサイトを運用する開発者は、修正バージョンを速やかに適用できるよう準備する必要がある。すぐに適用できない場合は、サイトの一時停止も選択肢として示されている。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中5項目が「はい」

はい	開発者に影響	PHPは開発者や運用チームが日常的に使う言語実行環境であるため、影響を受ける。
いいえ	基幹インフラ	PHPは単一のプログラミング言語の実行環境であり、OpenSSHやLinuxカーネルのような全チーム共通の基盤ソフトウェアではない。
はい	人気ツール	PHPは多くのWebサイトで使われる一般的な開発プラットフォームであり、AIDBも数多くのサイトで利用されていると報じている。
はい	悪用確認済み	CISA SSVCCISAはCVE-2026-109618の悪用状況を「active」（悪用中）と評価
いいえ	公開エクスプロイト	AIDB: 脆弱性の概要と修正版の公開を伝えるのみで、エクスプロイトや詳細な概念実証の公開には触れていない。
はい	認証不要のリモート攻撃	CVSSCVE-2026-109618：CVSS 9.2（ネットワーク経由、特権不要、ユーザー操作不要）
はい	完全な乗っ取り	CVSSCVE-2026-109618：CVSSは機密性と完全性への影響をともに「高」と評価
いいえ	シークレットの流出	AIDB: 認証情報や顧客データの流出が起きたという記述はない。
いいえ	サプライチェーン	AIDB: PHP公式の脆弱性と修正版の話であり、悪意あるコードの配布や侵害は報じられていない。
いいえ	修正なし	AIDB: 2026年10月21日の夜11時に修正バージョンが公開されると報じており、修正は提供済みとされる。

公式の記録

CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。

CVE-2026-109618 ↗CVSS 9.2 critical AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
RCE via OOM corruption
悪用確認済み
CISAは悪用を「活発」と評価
EPSS
今後30日間に悪用される確率は100% · 全CVEの100%より高い
脆弱性の種類
CWE-416, CWE-755, CWE-824, CWE-1325, CWE-1419
NVD
CVE-2026-109619 ↗CVSS 9.2 critical AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
RCE via stale global state
悪用確認済み
CISAは悪用を「活発」と評価
EPSS
今後30日間に悪用される確率は100% · 全CVEの100%より高い
脆弱性の種類
CWE-416, CWE-755, CWE-824, CWE-1325, CWE-1419
NVD

タイムライン

10月21日
高市早苗首相がXで、PHPの脆弱性への今夜の対応を呼びかける
10月21日
PHPの修正バージョンが夜11時に公開される予定
11月9日 · 3:00
AIDB
🔒 脆弱性の公表が大量に出る中、保守担当が「どれに集中して対応すべきか」を決める流れ

出典

🔒 脆弱性の公表が大量に出る中、保守担当が「どれに集中して対応すべきか」を決める流れ ↗ AIDB · 13時間前

初出：13時間前 · ソース1件 · 記事ページ · ティアの決め方