【超緊急】PHPに深刻な脆弱性2件が報告、CVSS v4.0で9.2と評価【本日23:00】

PHP セキュリティチームは、本日2026年10月21日14:00 UTC（日本時間23:00）に、2件の脆弱性に対するセキュリティパッチをリリースする予定です

今回報告された脆弱性は、 CVE-2026-109618 および CVE-2026-109619 として識別されており、いずれもリモートコード実行（RCE）につながる可能性がある重大な問題とされています
深刻度は、それぞれ CVSS v4.0 で 9.2 と評価されています
10点中 9.2 が2本なのでかなり深刻です

PHP を利用してウェブサイトや業務システムを運用している管理者は、公式発表を注視してセキュリティパッチが公開され次第、速やかに対応できるよう準備を進めておく必要があります

というのも、今回は攻撃側がセキュリティパッチが公開されるのを待ち構えている可能性が高いからです

脆弱性の概要

現時点で報告されている情報は、以下のとおりです

| 項目 | 内容 |
| --- | --- |
| 対象ソフトウェア | PHP |
| 脆弱性の識別番号 | CVE-2026-109618、CVE-2026-109619 |
| 脆弱性の種類 | リモートコード実行（RCE） |
| 深刻度 | CVSS v4.0で各9.2 |
| 影響するバージョン | PHP 5～8と報告されている |
| アップデート予定 | 2026年10月21日14:00 UTC（日本時間23:00） |
| 修正状況 | 具体的な修正内容や対象バージョンについては、公式発表の確認が必要 |

なお、影響を受ける具体的なバージョンや脆弱性が悪用される条件、修正済みバージョンについては、現時点では確定していません

PHP 公式発表：https://www.php.net/archive/2026.php#2026-10-20-1

リモートコード実行（RCE）の危険性

リモートコード実行（RCE）とは、攻撃者が遠隔から対象システム上で任意のコードを実行できてしまう脆弱性です
悪用された場合、サーバー上のデータの窃取や改ざん、マルウェアの設置、さらにはシステムの乗っ取りにつながるおそれがあります

PHP はウェブサイトやウェブアプリケーションのバックエンドに広く利用されています
そのため、今回の脆弱性は多くのシステム管理者にとって無視できない問題です

緊急パッチ公開後、何が起こるのか

1. 公開前：攻撃側も情報を収集している

攻撃側は、既に脆弱性に関する情報を収集しており、攻撃の準備を進めている可能性があります
というのも今回、当該の脆弱性情報が予定されていた公式公開前に漏洩したと報じられているからです

2. パッチ公開直後：攻撃側にパッチが解析される

セキュリティパッチが公開されると、攻撃側は攻撃用AIツールを利用してバイナリを解析し、事前に収集した情報と符合し詳細な分析が可能になり、パッチが適用されていないサーバーに対し攻撃が成立する条件を確定します
つまり、今回のパッチは防御側にとって重要な対策である一方、攻撃側にとっても強力な武器になるということです

3. その後：パッチ未適用のサーバーが攻撃対象になる

攻撃用AIツールは PHP が動作しているサーバーを対象に攻撃を試みます
攻撃手法や検証コードが公開・拡散・共有されれば、攻撃が激化する可能性もあります
あと、今回は極めて緊急事態のため、PHP 5 や PHP 7 などのサポート終了済みバージョンにはパッチが提供されない可能性があります
その場合は PHP のバージョン更新が必須になります
古いバージョンの PHP に依存しているコードで作られていて簡単にバージョンの更新できない場合は、一旦サーバーの稼働を止めるなどのリスクを抑えるための判断が必要になります
※日本政府からもそのように提言されています

緊急パッチ適用までの時間が重要になる

確認しておくこと

| 確認事項 | 確認内容 |
| --- | --- |
| PHP のバージョンを確認する | 実際にアプリケーションが稼働しているサーバーの PHP のバージョンを把握する |
| 対象となる環境を洗い出す | 本番サーバーだけでなく検証環境やコンテナなども確認する |
| 更新方法を確認する | 自分でパッチを適用する必要があるのか、ホスティング事業者の対応を待てばよいのかを確認する |
| 公式発表を継続的に確認する | 影響範囲や緊急の追加情報を確認する |
| 更新後の動作確認に備える | バックアップを取得しアプリケーションへの影響を検証できるようにする |

本記事は、現時点で提供されている情報に基づいています
脆弱性の影響範囲や修正状況については、PHPセキュリティチームによる正式発表を確認してください