PHPの重大な脆弱性が公表されました｜ホームページを持っている会社が今すぐ確認すること

本記事はアフィリエイト広告（PR）を含みます。紹介料の有無で内容や評価は変えていません。

2026年10月21日、PHPというソフトの重大な脆弱性が公表されました。PHPは、ホームページを動かすためにサーバーの中で動いているソフトです。WordPressで作られたホームページは、ほぼすべてこのPHPで動いています。

「うちはホームページを置いてあるだけだから関係ない」と思われるかもしれません。残念ながら、関係があります。この記事では、何が起きたのか、会社として何を確認すればいいのかを、できるだけ短くまとめます。確認することは、実のところ1つだけです。

私たちも公表の当日から、自社と保守でお預かりしているサーバーを順番に確認して回りました。そのときに迷ったこと、途中で判断を変えたことも含めて書きます。

何が起きたのか

公表されたのは2件の脆弱性です（CVE-2026-109618、CVE-2026-109619）。深刻度は10点満点で9.2。かなり上のほうの数字です。

何ができてしまうか	外部からサーバー上で任意の命令を実行される（リモートコード実行）
ログインは必要か	不要。管理画面のIDやパスワードを知らなくても成立する
影響する範囲	PHP 5系から8系まで、広い範囲
修正されたか	修正版が公開済み

「サーバー上で任意の命令を実行される」というのは、平たく言えばそのサーバーを自由に使われるということです。ホームページを書き換えられる、置いてあるファイルを抜かれる、他所を攻撃するための踏み台にされる。どれも起こり得ます。

踏み台にされる怖さについては、私が自社でやってしまった失敗を使っていないサーバーの電源を切り忘れ、自社が攻撃の踏み台にされた話に書いています。自分の会社が被害者ではなく加害者側になる、という話です。

「ホームページを置いてあるだけ」でも関係がある理由

今回のものは、ホームページに何かを入力したり、ログインしたりしなくても成立します。つまり「うちのサイトは会社案内を載せているだけで、問い合わせフォームもない」という会社でも、対象から外れません。

もう一点。会社のホームページと、同じサーバーの中にある他のものは、意外と近い場所にあります。同じサーバーでメールを受けている、社内用の小さなシステムを置いている、という会社は珍しくありません。入口が1つ開くと、その周りまで影響します。

確認することは1つだけ：PHPのバージョン

やることは単純です。サーバーで動いているPHPのバージョンが、修正版になっているかを確認する。これだけです。

使っている系統	これ以上なら修正済み
PHP 8.5系	8.5.12
PHP 8.4系	8.4.27
PHP 8.3系	8.3.36
PHP 8.2系	8.2.35
PHP 8.1以前	通常の修正版は出ていません。サポートが終わっている系統なので、新しい系統へ上げる相談が必要です

バージョンは、レンタルサーバーの管理画面に「PHPバージョン切替」といった名前の項目があり、そこで確認できることがほとんどです。ご自身で見るのが不安であれば、保守をお願いしている業者に「PHPのバージョンは修正版になっていますか」と一言聞くだけで十分です。この聞き方であれば、相手には確実に伝わります。

誰が上げるのかは、契約の形で変わります

サーバーの形	誰が更新するか	やること
共用レンタルサーバー	多くの場合、サーバー会社が自動で上げる	上がったかを管理画面で確認する
VPS・専用サーバー	自分たち（または保守業者）	すぐに業者へ連絡する
社内に置いたサーバー	自分たち（または保守業者）	同上。社内にあるものほど忘れられがち
制作会社に任せきり	契約によって違う	まず「どちらがやるか」を確認する

いちばん危ないのは、「誰かがやってくれていると思っていた」という状態です。制作会社にホームページを作ってもらったきり、何年も連絡を取っていない。これが実際には一番多いパターンです。ホームページを作るときに決めておくべきことは会社のホームページを持つとき、最初に決める3つに書きましたが、「更新を誰が見るか」はその中でも後回しにされがちです。

出回った「回避策」について、途中で判断を変えました

ここが、この記事で一番お伝えしたい部分です。

公表の直後、修正版が出るまでの応急処置として、PHPのある機能を止める設定が出回りました。私たちも、修正版が降りてくるまでの時間を埋めるために、その設定を入れて回りました。

ところがその後、「その設定を入れただけでは防ぎきれない」という見解が出てきました。最初にこの回避策を紹介していた調査会社自身が見解を改め、PHPを開発している側からも「更新することが唯一の対策」という発信がありました。

これは現場でよくある形です。公表直後の情報は、数時間から数日で変わります。そのため、私たちは次のように整理しました。

1. 応急処置は入れる。ただし「これで済んだ」とは考えない
2. 修正版への更新を本命として追いかける。ここが終わるまで対応完了としない
3. 更新が終わっても、入れた応急処置はそのまま残す（害がないため）
4. 確認した内容と日時を記録に残す。後から「あのとき何をしたか」を辿れるようにする

もし今、社内や取引先から「この設定を入れたから大丈夫」と言われているなら、PHP本体が修正版になっているかを、あらためて確認してください。設定だけでは足りません。

（PR）サーバーの更新を任せられるかどうか

今回のようなことは、これからも起こります。そのたびに自分たちで判断するのは、専任の担当者がいない会社には現実的ではありません。

そう考えると、共用のレンタルサーバーで、事業者側がPHPを上げてくれる形は、中小企業にとって合理的です。自由度は下がりますが、今回も多くの共用サーバーでは事業者側の作業で修正版に入れ替わりました。自社や客先のサーバーを1台ずつ見て回った立場としては、この差は小さくありません。

ただし、今これを読んで最初にやるべきことは乗り換えではありません。今お使いのサーバーのPHPが修正版になっているかの確認が先です。乗り換えは、落ち着いてから考えることです。

まとめ

• 2026年10月21日、PHPの重大な脆弱性が公表された。ログイン不要で、サーバーを乗っ取られ得る種類のもの
• WordPressのホームページを持っているだけの会社も対象
• 確認することは1つ。PHPが 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以上になっているか
• 共用レンタルサーバーなら事業者が上げていることが多い。VPS・社内サーバーは自分たちで上げる必要がある
• 出回った回避策の設定だけでは足りない。PHP本体の更新まで終わって、はじめて対応完了

保守業者に連絡するときの文面として、そのままお使いください。

10月21日に公表されたPHPの脆弱性（CVE-2026-109618／109619）について確認させてください。当社のサーバーのPHPは修正版（8.2.35／8.3.36／8.4.27／8.5.12以上）になっていますでしょうか。まだであれば、いつ対応予定かを教えてください。

一次情報は、PHP公式のセキュリティ勧告と、GMO Flatt Security の解説記事をご覧ください。状況が変わる可能性があるため、判断の際は必ず最新の発表をご確認ください。