PHPの重大脆弱性公表相次ぐ中で保守の優先順位が課題に

ティアA · 今日中にパッチ – 帰る前に対応

影響を受ける人： PHPを利用する多くのWebサイトとその運営企業

ティアAの理由：基幹インフラまたは人気ツールかつ悪用確認済み

影響範囲

攻撃

被害

修正

人気ツール · 悪用確認済み · 認証不要のリモート攻撃 · 完全な乗っ取り

取るべき対応

要点

PHPで動くシステムは、パッチ適用だけでなく運用体制や緊急時の停止判断も含めた対策が必要になる。サポートが終了した古いPHPを使う場合は、公式の修正が届かず対応がより難しくなる。

チェックリスト · 10項目中5項目が「はい」

はい	開発者に影響	開発基盤のPHPはWebサーバーで広く使われ、開発者や運用チームが管理するため影響対象である。
いいえ	基幹インフラ	PHPは単一の言語処理系であり、OpenSSHやglibcのようなほぼ全チームが使う基幹インフラではない。
はい	人気ツール	PHPは多くのWebサイトやフレームワークで使われる一般的な開発技術であるため該当する。
はい	悪用確認済み	CISA SSVCCISAはCVE-2026-109618の悪用状況を「active」（悪用中）と評価
いいえ	公開エクスプロイト	ソースは対応策や停止判断を解説するのみで、公開エクスプロイトや詳細なPoCへの言及はないため該当しない。
はい	認証不要のリモート攻撃	CVSSCVE-2026-109618：CVSS 9.2（ネットワーク経由、特権不要、ユーザー操作不要）
はい	完全な乗っ取り	CVSSCVE-2026-109618：CVSSは機密性と完全性への影響をともに「高」と評価
いいえ	シークレットの流出	ソースに認証情報や顧客データなどの流出に関する記述はないため該当しない。
いいえ	サプライチェーン	ソースに正規パッケージや配布経路を通じた悪意あるコードの配布に関する記述はないため該当しない。
いいえ	修正なし	TechTargetジャパンは提供されたパッチの適用が不可欠と述べており、修正版は存在するため該当しない。

CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。

初出：2日前 · ソース6件 · 記事ページ · ティアの決め方