PHP の緊急脆弱性 (CVE-2026-109618 / CVE-2026-109619) への対応について

2026 年 10 月 21 日 (水)、PHP の開発チームが緊急のセキュリティリリースを公開しました。修正された 2 件の脆弱性 (CVE-2026-109618、CVE-2026-109619) は、認証なしで外部からサーバー上のプログラムを実行される恐れがあるもので、深刻度はどちらも Critical (CVSS v4.0 で 9.2) です。当社が保守を担当している PHP のシステムについて、行った対応をご報告します。

リリース前の対応

PHP の開発チームは前日に、リリースを日本時間 10 月 21 日 23:00 (タイ時間 21:00) に行うと予告していました。当社ではリリースを待たず、修正版がなくても取れる設定面の緩和策を、日本時間 23:00 より前に適用しました。

リリース後の対応

修正版の公開後は、各システムで PHP の更新を順次進めています。

共用のレンタルサーバーなど、当社やお客様の側で PHP を更新できない環境では、サーバー事業者が修正を適用するまでの間、お客様と相談のうえで、サイトを一時的に停止するなどの措置を取りました。

修正済みのバージョン

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.1 以前は通常の更新対象から外れているため、サポート中のバージョンへの移行をおすすめします。WordPress などで作られたサイトの場合も、必要なのは PHP 自体の更新です。

当社が保守していないシステムでも、対応方法が分からない場合は お問い合わせ ください。