PHPの重大な脆弱性：今日、Web担当者に確認したい5つのこと
2026年10月21日の夜、高市早苗首相がXで、PHPの修正プログラムを速やかに適用できるよう準備を呼びかけました。適用が難しい場合は、ウェブサイトの一時停止もリスクを下げる有効な手段の一つだとしています。プログラミング言語の更新について首相が発信するのは異例で、それだけ深刻な問題だということです。
PHPは、WordPressをはじめ多くのホームページ作成ツールやCMSの土台になっているプログラミング言語です。PHPの開発チームは10月21日、緊急度「Critical」の脆弱性2件（CVE-2026-109618、CVE-2026-109619。CVSS v4.0でいずれも9.2）を修正したバージョンを公開しました。攻撃者はログインする必要がなく、細工したリクエストを送るだけで、サーバー上で任意のプログラムを実行できる恐れがあります。IPA（情報処理推進機構）と国家サイバー統括室も注意を呼びかけており、銀行などでは予防的に一部のサービスを停止する動きも出ています。
技術的な中身まで理解する必要はありません。確かめるべきなのは、分かっている人が今日のうちに対応しているかどうかです。自社のホームページ、ネットショップ、採用サイト、Webで使う業務ツールなどがあれば、運用している社内のIT担当者、制作会社、またはサーバー会社に、次の5つを確認してください。
影響を受けるサイト
脆弱性はPHPそのものにあり、特定の製品の問題ではありません。PHPでWebページを動かしているサイトは、すべて対象です。WordPress、Drupal、Joomla、Magento、EC-CUBEで作ったサイトも、Laravelなどで開発した独自システムも含まれます。セキュリティ企業のWizは、WordPress、Drupal、Joomlaの最新版（コンテナイメージ）で、ログインなしにサーバーを乗っ取れることを実証しました。乗っ取りまで至らなくても、サーバーのメモリ上にあるパスワードやAPIキーなどが漏れる恐れがあるとしています。
脆弱性の詳細は、修正版が出る前日の10月20日に漏れていました。Patchstackによると、レンタルサーバー事業者などからすでに攻撃の報告が寄せられており、Cloudflareも初期の攻撃を確認しています。攻撃者はもう脆弱なサイトを探している、と考えて動いてください。
担当者に確認したい5つのこと
1. 自社のサイトやシステムのうち、PHPで動いているものはどれか。 メインのコーポレートサイトだけで終わらせないでください。忘れられがちなのは、昔のキャンペーンサイト、採用サイト、会員ページ、社内ツール、何年も前に制作会社が作ったネットショップなどです。IPAは、製品やネットワーク機器にPHPが組み込まれている場合もあるとして、メーカーの情報も確認するよう求めています。
2. PHPは更新済みか。バージョンはいくつか。 修正版は8.5.12、8.4.27、8.3.36、8.2.35です（Linuxディストリビューションやベンダーが提供する修正済みパッケージでも構いません）。「WordPressは更新しました」は、この質問の答えになりません。WordPressやプラグインはPHPの上で動いていて、今回更新が必要なのはPHPのほうです。レンタルサーバーを使っている場合は、サーバー会社のお知らせと、PHPのバージョンを選ぶ管理画面を確認してください。
3. PHP 8.1以前のまま動いているものはないか。 これらのバージョンには、PHPの開発チームから修正版が出ません。ベンダーやディストリビューションが修正済みパッケージを出しているかを確認し、出ていなければ移行の計画が必要です。それまでは停止も検討してください。
4. 今日中に更新できないなら、一時停止できるか。 首相が挙げた対策です。PHPの開発チームも、完全な対策は更新しかないと明言しています。設定の変更やWAF（Webアプリケーションファイアウォール）で危険は減らせますが、なくなりはしません（CloudflareのWAFの緊急ルールが効くのは、サーバーがCloudflare経由の通信しか受け付けない構成の場合だけです）。1日メンテナンス画面を出すほうが、サーバーを乗っ取られるよりはるかに安く済みます。
5. 更新する前に攻撃されていないか。 10月20日以降に未更新のまま動いていたサイトは、侵入の痕跡がないか調べてください。あわせて、そのサーバーに保存しているパスワードやキー（データベースのパスワード、APIキー、メールアカウントの認証情報など）も変更してください。更新すれば穴はふさがりますが、すでに入り込んだ攻撃者を追い出すことにはなりません。
確認したら、そこで終わりにしないでください。「確認中です」は返事の第一歩であって、答えではありません。適用したバージョンと日付まで聞いてください。
イソリアはPHPを使っていますか？
報道以降、このお問い合わせを何件もいただいています。使っていません。イソリアのWebサイト、このブログ、当社が開発しているアプリケーションはTypeScriptで書かれ、Cloudflare Workers上で動いています。利用しているソフトウェア部品の管理にも気を配っています。自社のサイトが何で動いているか分からない、制作会社から返事が来ない、といった場合は、お気軽にご相談ください。
技術的な詳細は、IPAの注意喚起とPHP公式のセキュリティ情報（英語）をご覧ください。