MisaNeco Works ブログ

2026-10-21・セキュリティ

PHPの重大な脆弱性（2026年10月）｜自分のサイトは大丈夫？ 確認と更新の手順

2026年10月21日、PHPの開発チームが、外部から勝手にコードを実行されるおそれのある脆弱性2件を修正したバージョンを公開しました。 PHPは、WordPressをはじめ多くのWebサイトや業務システムの裏側で動いています。会社や個人のサイトをPHPで動かしている場合は、今すぐバージョンを確かめて、修正版に更新してください。

この記事でわかること：

何が起きたのか

PHP公式の発表によると、修正された脆弱性は次の2件です。

どちらも深刻度（CVSS v4.0）は 9.2 で、ログインしていない外部の人から、任意のコードを実行されるおそれがあるとされています。

公式の発表では、Webのリクエストを処理しているPHPはすべて対象とされています。たとえば、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed です。とくにmod_phpは、アプリのコードが動く前に攻撃が成り立つ例が示されていて、危険度がいちばん高いとされています。

修正版の番号

次のバージョン以上に更新します。

PHP 8.1以前は、公式の更新がもう出ません。公式はGitHubで最小限の修正（7.4・8.0・8.1向け）を公開していますが、できるだけ新しいバージョンへの移行を検討してください。

自分のサイトのPHPのバージョンを確かめる

WordPressの場合

管理画面の「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」を開くと、PHPのバージョンが表示されます。

レンタルサーバーの場合

多くのレンタルサーバーでは、管理画面（コントロールパネル）の「PHPのバージョン設定」のような画面で、使っているバージョンを確かめたり、切り替えたりできます。共用のレンタルサーバーでは、サーバー会社が修正版への更新を進めていることがあります。お使いのサーバー会社のお知らせを確認してください。メンテナンスでサイトや管理画面が一時的に止まることもあります。

自分でサーバーを管理している場合

コマンドで php -v を実行すると、バージョンが表示されます。WebサーバーとコマンドラインのPHPが別のバージョンになっていることもあるので、Webで動いているPHPも確かめてください。※バージョン確認のために phpinfo() のページを作った場合は、確認後すぐに消してください。サーバーの情報が外から見えてしまいます。

制作会社に任せている場合

「PHPの今回の脆弱性（CVE-2026-109618／109619）への対応状況と、今のPHPのバージョン」を、制作会社や保守の担当者に問い合わせてください。

すぐに更新できないときの注意

公式の発表では、完全な対策は更新だけとされています。

更新までのあいだ、php.iniなどの設定で一部の攻撃の経路を減らす方法も示されていますが（例：session.upload_progress.enabled=0 にして全ワーカーを再起動する）、これだけでは安全になりません。設定を変えたうえで、できるだけ早く更新してください。

確認のチェックリスト

参考

※この記事は2026年10月21日時点のPHP公式の発表をもとに、AIを活用して作成しています。攻撃の状況などは今後変わることがあります。最新の情報はPHP公式とサーバー会社のお知らせを確認してください。

あわせて使える無料ツールパスワード点検 PassAudit（体験版）

新しい無料ツールや記事を、LINEでお知らせします
「ツール」「お金」「スマホ」と送ると、合うツールの案内が自動で届きます。

LINEで友だち追加Eternal Philosophy 公式LINE（EQUA・MisaNeco Works を運営）
関連記事人が辞めた日にやるアカウント整理｜小さな会社の退職時チェックリスト（IPAガイドライン第4.0版より）
偽メールのリンクを押した・入力してしまったときにやること｜小さな会社・個人事業主向けチェックリスト
小さな会社のパスワードのルール｜「定期的に変更」はもう不要？米国NISTの2025年版でわかったこと