PHP開発チームは2026年10月21日、認証されていない第三者によるリモートコード実行につながる重大な脆弱性2件を修正したセキュリティアップデートを公開した。

対象は「CVE-2026-109618」と「CVE-2026-109619」。深刻度を示すCVSS v4.0のスコアはいずれも**9.2（緊急）**で、PHP利用者に速やかな更新を呼びかけている。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

公開された脆弱性2件の概要

今回の問題は、PHPがWebサイトへのリクエストを処理する際のメモリ管理などに起因する。攻撃が成立すると、Webサーバー上で不正なコードを実行される恐れがある。

いずれも、攻撃者による事前の認証を必要としない。ただし、攻撃の成立条件はPHPの実行方式や設定、アプリケーションの処理などによって異なる。

CVE-2026-109618：メモリ不足時の処理に不備

PHPの処理中にメモリ不足が発生した際、内部データが適切に初期化されていない状態で処理が中断され、その後の終了処理で不正なデータが使用される問題。

公式アドバイザリーでは、Apacheの「mod_php」環境で、アプリケーションのコードが動き始める前に攻撃が成立することを実証したと説明している。

CVE-2026-109619：後続のリクエストで解放済みメモリを参照

処理を終えたリクエストの内部状態が適切にリセットされず、同じワーカープロセスが後続のリクエストを処理する際に、解放済みのメモリを参照する問題。

公式情報では、mod_phpに加え、アプリケーション側の条件がそろったPHP-FPM環境でも攻撃経路を検証したとしている。PHP-FPMを利用していることだけで、影響を受けないと判断することはできない。

影響を受けるバージョンと修正版

現在サポートされているPHP 8.2～8.5系について、修正版は以下のとおり。

Linuxディストリビューションなどが提供するパッケージでは、バージョン番号を維持したまま修正を適用する場合があるため、提供元のセキュリティ情報と照合する必要がある。

PHP 8.1以前の環境も確認が必要

PHP開発チームによる通常の更新提供が終了しているPHP 8.1以前についても、影響確認が必要となる。

公式発表では、一部のディストリビューションや長期サポート事業者による修正提供の確認、またはサポート対象バージョンへの移行を案内している。深刻度を踏まえ、PHP 7.4・8.0・8.1向けには、ソースコードから構築する利用者などのための最小限の修正も用意した。

WordPressなどの運営者もサーバー側の対応確認を

今回の問題は、Webアプリケーションを動かすPHP本体に存在する。WordPressなどPHPを利用するサイトでは、CMSやプラグインの更新とは別に、サーバー上のPHPに修正が適用されているかを確認する必要がある。

レンタルサーバーや運用代行サービスの利用者は、管理画面の表示だけで判断せず、提供事業者の告知や問い合わせ窓口を通じて、対象環境と修正状況を確認したい。

設定変更だけでは完全に回避できず、修正版の適用が必要

PHP開発チームは、設定変更による緩和策も案内しているが、完全な対策は修正を含むバージョンへの更新としている。

CERT-EUも、PHPを利用するシステムを特定して速やかに修正するよう推奨。直ちに対応できない場合には、インターネットに公開しているアプリケーションを一時的に公開ネットワークから隔離することも検討するよう呼びかけている。

Webサイト運営者には、利用中のPHPと提供元の修正状況を確認し、更新を適用したうえで動作確認を進める対応が求められる。

出典：

• PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」
• PHP公式アドバイザリー「RCE via OOM corruption」
• PHP公式アドバイザリー「RCE via stale global state」
• CERT-EU「Critical Vulnerabilities in PHP」

※2026年10月21日時点の公表情報に基づく。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから