「PHPを至急更新してください」——そもそもPHPって何？なぜ今回は重大なのか

2026年10月21日 2026年10月21日

野末泰裕

会社のホームページを管理していると、さまざまな更新のお知らせが届きます。

「セキュリティ対策のため、最新版へ更新してください」

見慣れた案内だからこそ、つい後回しにしてしまうこともあるでしょう。

しかし、2026年10月21日にPHP公式が発表したのは、優先して確認すべき内容です。外部から不正なプログラムを実行される可能性がある、２件の重大な脆弱性が修正されました。

外部リンク＞PHP公式発表

そもそもPHPとは何なのか。なぜ今回、緊急の対応が求められているのか。専門知識がなくても分かるように説明します。

PHPは、Webサイトの裏側で働く仕組み

PHPは、Webサイトやシステムを作るためのプログラミング言語です。また、そのプログラムをサーバー上で動かすソフトウェアのことも、一般に「PHP」と呼びます。

例えば、訪問者がサイト内で記事を検索すると、サーバー側で検索条件を受け取り、必要な情報を取り出し、結果のページを作って返します。PHPは、こうした処理を担います。

身近な例が、ホームページやブログの管理に使われるWordPressです。WordPressも、サーバー上のPHPによって動いています。

外部リンク＞WordPress公式の動作要件

普段、利用者の目にPHPそのものが見えることはありません。それでも、サイトを動かす大切な土台の一つです。

「脆弱性」とは、悪用される可能性のある欠陥

ソフトウェアの不具合には、文字がずれるものから、処理が止まるものまで、さまざまな種類があります。

その中で、攻撃者に悪用され、情報やシステムの安全を損なう可能性がある欠陥を「脆弱性」と呼びます。

今回問題になったのは、PHPのメモリ管理です。

メモリは、プログラムが処理中の情報を一時的に置く作業スペースです。PHPはアクセスを処理するたびに、このスペースを準備し、使い、後片付けします。

今回の２件は、大まかにいうと、この準備や後片付けに関わる問題でした。

一つは、メモリ不足で処理が中断された際、準備途中のデータを正常なものとして扱ってしまう問題。もう一つは、使い終わったメモリへの参照が残り、後のアクセスで誤って使われる問題です。

単にエラーで止まるだけでなく、悪用すると不正なプログラムの実行につながることが、重大な点です。

外部リンク＞PHP開発元による技術説明：メモリ不足時の問題、解放後のメモリを参照する問題

なぜ、今回は一大事なのか

特に注意したいのは、次の３点です。

一つ目は、ログインしていない相手から攻撃される可能性があること。

管理者のパスワードを知らなくても、外部から送ったリクエストが攻撃の入り口になり得ます。

二つ目は、サイト側のプログラムが動く前に攻撃が成立するケースがあること。

Apacheの「mod_php」という方式では、PHPがアクセスを受け付ける初期段階で攻撃が成立する例が示されています。サイト内のログイン処理や入力チェックに到達する前に、問題が起きる場合があるのです。

外部リンク＞PHP開発元の検証内容

三つ目は、確認が必要な環境が幅広いこと。

公式は、PHPでWebリクエストを処理する環境全般に注意を呼びかけています。ただし、すべてのサイトで、同じ条件の攻撃が成功するという意味ではありません。構成や設定、アプリケーションによって、攻撃が成立する条件は異なります。

外部リンク＞PHP公式発表

仮に不正なプログラムの実行を許せば、PHPの実行権限でアクセスできる情報の漏えいや、サイト改ざんなどにつながるおそれがあります。

なお、脆弱性の発表は「自社がすでに被害に遭った」という通知ではありません。被害を防ぐために、早急な確認と修正が必要ということです。

「PHP 8.1以下なら大丈夫」ではない

今回、公式が案内した修正版は次の４つです。

PHPの系列	今回の修正版
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

ここで、「8.1以下は一覧にないから安全なのでは」と考えるのは誤りです。

PHP 8.1以下は、公式の通常サポートが終了しています。一覧にない理由は、安全だからではありません。

今回は重大性を踏まえ、7.4・8.0・8.1向けにも特別に修正パッチが用意されました。ただし、古いPHPの通常サポートが再開したわけではありません。

外部リンク＞公式の更新案内

WordPressの更新だけでは対応にならない

ここは、サイトの運営者が混同しやすいところです。

WordPress本体、テーマ、プラグイン、そしてPHPは、それぞれ別のソフトウェアです。WordPressの管理画面で更新を済ませても、サーバー側のPHPまでは更新されません。

今回必要なのは、実際にサイトを動かしているPHPに、修正が適用されているかの確認です。

また、サーバー提供元が古いバージョンに修正だけを取り込む場合もあります。そのため、表示される番号だけで安全・危険を決めず、今回の脆弱性への対応状況を確認することが大切です。

外部リンク＞PHP公式の提供元向け案内

まず、管理担当に確認する

専門知識がなくても、最初にできることは明確です。

制作会社、保守会社、レンタルサーバー会社などに、次の内容を確認してください。

当社のサイトで使用しているPHPについて、今回公表されたCVE-2026-109618とCVE-2026-109619への対応状況を教えてください。未対応の場合は、修正適用の予定と、当社側で必要な作業を確認したいです。

更新を進める際には、管理担当者とバックアップや動作確認の手順を整えます。特に古いPHPから新しい系列へ移る場合は、既存システムとの互換性も確認する必要があります。

公式には一時的に危険を減らす設定も示されていますが、完全な対策には修正の適用が必要です。設定変更だけで対応完了とは判断できません。

外部リンク＞PHP公式の対策説明

会社のホームページは、公開した後も、その土台となるソフトウェアの保守が必要です。

今回の通知を受け取ったら、まずは「誰がPHPの更新を担当しているのか」「今回の修正は適用済みか」を確認しましょう。担当者と対応状況を把握することが、自社サイトを守る具体的な一歩になります。

※本記事は2026年10月21日のPHP公式発表に基づきます。

投稿者プロフィール

野末泰裕: 株式会社エンツナクリエイト代表取締役
三重県津市出身名古屋在住
大阪音楽大学短期大学部音楽専攻ジャズコース卒業
WACA公認ウェブ解析士
DX推進アドバイザー
IT導入診断士
Mie WordPress Meetup 共同オーガナイザー
Zoho Japan Community Ambassador