WebサイトやWebアプリケーションで広く使用されているプログラミング言語「PHP」に、深刻度が「Critical（緊急）」に分類される重大な脆弱性が2件確認された。
PHPの開発チーム「The PHP Group」は2026年10月20日、これらの脆弱性に対応するセキュリティリリースを、日本時間10月21日午後11時（23時）に公開する予定だと発表した。
2件の脆弱性はいずれも、国際的な脆弱性評価指標「CVSS v4.0」で9.2と評価されている。国内では独立行政法人情報処理推進機構（IPA）も注意喚起を公開し、PHPを利用するシステムの管理者に事前準備を呼びかけている。
PHPに深刻度9.2の脆弱性2件
PHP公式の発表によると、今回のセキュリティリリースは重大な脆弱性2件を修正するものとなる。
CVSSは脆弱性の深刻度を数値で表す指標で、今回の9.2は最高区分の「Critical」に相当する。
欧州連合のサイバーセキュリティ対応組織「CERT-EU」は、今回の脆弱性について、認証を必要としない遠隔コード実行につながる可能性があると説明している。ただし、技術的な詳細はまだ公表されておらず、実際に攻撃が成立する条件については、正式な情報の確認が必要だ。
CERT-EUは、今回の脆弱性に「CVE-2026-109618」と「CVE-2026-109619」の識別番号を示している。また、PHP 5以降のバージョンに影響する可能性にも言及しているが、PHP公式による正確な影響範囲の発表はまだ行われていない。
修正版は21日23時に公開予定
PHP開発チームは、セキュリティリリースを10月21日午後2時（UTC）、日本時間の同日午後11時に公開する予定としている。
脆弱性の詳細が外部に公開された場合や、実際の悪用を示す証拠が確認された場合には、公開時刻を前倒しする可能性もあるという。
影響を受けるPHPのバージョンや修正済みバージョンの情報については、セキュリティリリースの公開と同時に明らかにする方針だ。
IPAも注意喚起、事前準備を呼びかけ
IPAは10月21日、「PHPのセキュリティリリース公開予定について」と題する注意喚起を公開した。
IPAによると、現時点で今回の2件の脆弱性を悪用した攻撃は確認していない。ただし、修正プログラムの公開後、短時間で攻撃が行われる可能性を考慮し、迅速に対策を実施できるよう準備する必要があるとしている。
具体的には、自組織で運用しているWebサイトやアプリケーションについて、PHPの利用状況を把握し、更新が必要なシステムを確認することを推奨している。
また、PHPはWebサイトだけでなく、ソフトウェア製品やネットワーク機器などの内部でも使用される場合があるため、製品提供元のセキュリティ情報にも注意が必要だ。
WordPressなどへの影響にも注意
PHPは、世界中で広く利用されているコンテンツ管理システム「WordPress」などを動作させる基盤技術の一つだ。
そのため、今回の脆弱性は個人ブログだけでなく、企業サイトやECサイト、各種Webサービスの運営者にとっても重要な問題となる可能性がある。
ただし、PHPを使用しているという理由だけで、すべてのWordPressサイトが直ちに攻撃可能な状態にあると断定することはできない。実際の影響は、使用しているPHPのバージョンやサーバー環境、脆弱性の成立条件などによって異なる可能性がある。
サイト運営者はPHP公式の発表を確認し、修正対象に該当する場合は、バックアップや互換性確認などの準備をしたうえで速やかに更新することが重要だ。
なお、この記事は2026年10月21日午後11時の修正版公開予定時刻より前の情報を基にしている。修正済みバージョンや正確な影響範囲については、公式発表後の情報を確認する必要がある。
コメント