日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
A69/100

脆弱性 · 緊急 · CVSS 9.2

PHPの重大脆弱性

ティアA · 今日中にパッチ – 帰る前に対応

影響を受ける人： PHPを使用する多数のWebサイトの運営者

ティアAの理由： 基幹インフラまたは人気ツール かつ 悪用確認済み

影響範囲

攻撃

被害

修正

人気ツール · 悪用確認済み · 認証不要のリモート攻撃 · 完全な乗っ取り

取るべき対応

  1. PHPの修正バージョンを適用する
  2. 速やかな適用が難しい場合はサイトの一時停止を検討する
  3. パッチ適用後も残るリスクがないかを確認する

要点

  • PHPの脆弱性2件（CVE-2026-109618、CVE-2026-109619）についてThe PHP Groupがアドバイザリを公開した
  • 2026年10月21日の夜に修正バージョンが公開され、高市首相もPHPの更新を呼びかけた
  • 速やかな適用が難しい場合はサイトの一時停止も選択肢として示され、多くの企業がサービスを止めて緊急対応に追われた

なぜ重要か

PHPを使うサイトやサービスは修正版の適用を最優先で進める必要がある。さらに、パッチを当てるだけでは安全にならないという指摘もあり、適用後のリスク確認も欠かせない。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中5項目が「はい」
はい開発者に影響PHPはサーバー側で開発者や運用チームが使うプログラミング言語であるため
いいえ基幹インフラPHPは単一の言語製品であり、OpenSSHやLinuxカーネルのような全チーム共通の基盤ソフトではないため
はい人気ツールPHPはWordPressなど多くのWebサイトで広く使われる一般的な開発技術であるため
はい悪用確認済みCISA SSVCCISAはCVE-2026-109618の悪用状況を「active」（悪用中）と評価
いいえ公開エクスプロイトJVNはアドバイザリの公開のみを伝えており、エクスプロイトや詳細な概念実証の公開は示されていないため
はい認証不要のリモート攻撃CVSSCVE-2026-109618：CVSS 9.2（ネットワーク経由、特権不要、ユーザー操作不要）
はい完全な乗っ取りCVSSCVE-2026-109618：CVSSは機密性と完全性への影響をともに「高」と評価
いいえシークレットの流出各ソースは情報の持ち出しや漏えいが起きたとは報じていないため
いいえサプライチェーン各ソースは正規パッケージや配布経路への悪意あるコードの混入を報じていないため
いいえ修正なしAIDBは2026年10月21日夜に修正バージョンが公開されると伝えており、修正は提供済みであるため

公式の記録

CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。

タイムライン

  1. PHPの脆弱性2件が見つかり、同日夜に修正バージョンが公開された

  2. xtech.nikkei.com

    サイバー攻撃から企業を守る、経営陣は「止める覚悟」を 緊急対策12項目

  3. TechTargetジャパン 最新記事一覧

    なぜ「PHP2Shell」はパッチを当てても終わらないのか？

  4. AIDB

    🔒 脆弱性の公表が大量に出る中、保守担当が「どれに集中して対応すべきか」を決める流れ

  5. ITmedia エンタープライズ 最新記事一覧

    「縁の下の力持ち」なIT部門はいつまでもつ？ “おまかせ運用”は中小企業の現実解か

  6. xtech.nikkei.com

    3位は「PHP重大脆弱性、財団が『構造的な失敗』と認める 兆候は24年に把握」経営層の注目トップ10

  7. xtech.nikkei.com

    なぜ騒動になったのか、本当に危なかったのか 「PHP脆弱性」を徹底解説

  8. JVNがThe PHP Groupのアドバイザリに基づく脆弱性情報を公開した

  9. jvn.jp

    PHPにおける複数の任意のコードが実行可能な脆弱性（CVE-2026-109618、CVE-2026-109619）

  10. xtech.nikkei.com

    PHPの重大脆弱性発見の経緯公表 財団が「構造的な失敗」と認める

すべての報道 · ソース8件

初出： · ソース8件 · 記事ページ · ティアの決め方