WebサイトやWebアプリケーションで広く利用されている「PHP」の重大な脆弱性2件について、2026年10月21日午後11時（日本時間）に予定されている修正版の公開後、サイバー攻撃が活発化する可能性が懸念されている。
今回の脆弱性はいずれも、深刻度を示す「CVSS v4.0」で9.2と評価されている。独立行政法人情報処理推進機構（IPA）は、修正プログラムの公開後、攻撃者が極めて短時間で攻撃を実行する可能性があるとして、事前の対策準備を呼びかけた。
ただし、午後11時を境にサイバー攻撃が一斉に始まると確認されたわけではない。 IPAは10月21日時点で、今回の2件の脆弱性を悪用した攻撃を確認していないとしている。
では、なぜ修正版の公開直後が警戒されているのだろうか。
なぜ23時以降のサイバー攻撃が懸念されるのか
PHPの開発チーム「The PHP Group」は10月20日、重大な脆弱性2件に対応するセキュリティリリースを、21日午後2時（UTC）、日本時間午後11時に公開すると予告した。
一般的に、ソフトウェアのセキュリティ更新では、修正内容の公開によって、それまで明らかになっていなかった脆弱性の原因や修正箇所が推測できるようになる場合がある。
攻撃者が修正前後のプログラムを分析することで、未更新のシステムを狙う攻撃方法の研究が進む可能性がある。
特に今回のように、深刻度の高い脆弱性が事前に告知されている場合、攻撃者側も修正プログラムの公開を注視している可能性は否定できない。
一方、修正版が公開されたからといって、直ちに攻撃方法が判明するとは限らない。攻撃に必要な条件や、実際に悪用できる環境によってリスクは異なる。
したがって、午後11時は攻撃開始が予告された時刻ではなく、修正プログラムの公開が予定されている時刻として理解する必要がある。
IPAは「極めて短時間で攻撃」の可能性を指摘
IPAは10月21日、PHPのセキュリティリリース公開予定について注意喚起を発表した。
今回の注意喚起では、PHPを利用しているWebサイトの運営者やWebアプリケーションの開発者に対し、修正版が公開され次第、迅速に対応できるよう準備することを求めている。
IPAは、サポートが終了した古いPHPを使い続けているWebサイトやWebサービスが存在することも指摘した。
また、過去のPHPの脆弱性については、2024年7月にも悪用した攻撃に関する注意喚起を行っている。
こうした過去の事例や最近のサイバー攻撃の状況を踏まえ、IPAは今回の脆弱性についても、攻撃者が短時間で悪用する可能性を警戒している。
ただし、今回の脆弱性を悪用した攻撃が実際に発生したという意味ではない。現時点では予防的な注意喚起であり、攻撃状況に関する続報を確認する必要がある。
攻撃が発生した場合、どのような被害が考えられるのか
欧州連合のサイバーセキュリティ対応組織「CERT-EU」は、今回の脆弱性について、認証を必要としない遠隔コード実行につながる可能性を指摘している。
遠隔コード実行とは、攻撃者がネットワーク経由で対象システムに意図しないプログラムや命令を実行させることを指す。
仮に今回の脆弱性が悪用され、攻撃者による不正なプログラムの実行が可能になった場合、システムの構成や権限などの条件によっては、Webサイトの改ざん、情報の窃取、サービス停止などにつながるおそれがある。
ただし、これらは遠隔コード実行型の脆弱性で一般的に想定される被害であり、今回の2件について、すべての被害が実際に発生することを示すものではない。
CERT-EUが示している脆弱性識別番号は「CVE-2026-109618」と「CVE-2026-109619」で、詳細な技術情報は修正版の公開に合わせて明らかになる見通しだ。
Webサイト運営者は今何をすべきか
今回の問題で重要なのは、修正プログラムが公開されてから対応方法を調べ始めるのではなく、事前にPHPの利用状況を把握しておくことだ。
企業サイトやECサイト、WordPressなどのCMSを利用するWebサイトでは、PHPが動作基盤として使われている場合がある。
まず、サーバーで使用しているPHPのバージョンを確認し、公式の修正情報と照合できるようにしておく必要がある。
レンタルサーバーを利用している場合は、事業者がPHPの更新を自動的に実施するのか、利用者による操作が必要なのかを確認したい。
また、更新に伴ってWebサイトが正常に動作しなくなる可能性もあるため、バックアップの取得や互換性の確認も重要になる。
CERT-EUは、直ちに修正できないインターネット公開システムについて、修正が可能になるまで外部ネットワークから隔離することも検討するよう勧告している。
23時以降は公式情報と攻撃状況の確認が重要
今回のPHPの脆弱性については、修正版の公開後に攻撃が活発化する可能性があるものの、現段階で攻撃の激化が確定しているわけではない。
今後の焦点は、PHP公式が公表する正確な影響バージョンと修正内容、実際の悪用状況、そして各サーバー事業者による対応だ。
PHPの開発チームは、脆弱性の詳細が外部に公開された場合や、実際の悪用を示す証拠が確認された場合には、セキュリティリリースを前倒しする可能性も示している。
サイト運営者にとって重要なのは、攻撃が確認されるまで待つことではなく、公式情報に基づいて影響を確認し、必要な修正を迅速に適用することだ。
日本時間21日23時は、PHPを利用するシステムの管理者にとって、セキュリティ対応上の重要な節目となる。
※本記事は2026年10月21日、セキュリティリリース公開予定時刻前の情報を基に作成しています。
コメント