PHPがCVSS 9.2の重大な脆弱性2件に対する緊急セキュリティアップデートを準備、英国NCSCが即時対応を呼びかけ
重要ポイント
- •PHPは2026年10月21日14:00 UTCに、CVSS v4スコア9.2と評価された重大な脆弱性2件に対するセキュリティリリースを実施する予定です。
- •PHP Foundationは、エクスプロイトの詳細が公開されたり実際の悪用の証拠が現れたりした場合、リリースが前倒しになる可能性があると注意を促しました。
- •英国国立サイバーセキュリセンター(NCSC)は、組織に対しPHPシステムを棚卸しし、インターネット公開システムを優先し、迅速なパッチ適用が不可能な場合はシステムのオフライン化を検討するよう呼びかけました。
- •ボランティアが維持するRemi RPMリポジトリにはリリース当日にアップデートが提供されないため、ディストリビューションのパッケージへの切り替えかソースからのビルドが推奨されます。
- •暗号資産取引所やウォレット提供事業者を含むPHPベースのインフラを運用する企業は、修正が提供され次第、準備、迅速なパッチ適用、継続的な監視を優先すべきです。
PHPは、CVSS v4スコア9.2という重大な深刻度に分類される脆弱性2件を特定したことを受け、2026年10月21日に予定される重大なセキュリティアップデートを準備しています。PHP Foundationは10月20日に今回のリリース予定を発表し、ユーザーに即時アップデートの準備を促すとともに、エクスプロイトの詳細が公開されたり実際の悪用の証拠が現れたりした場合には、修正プログラムの提供が予定より前倒しになる可能性があると警告しました。
リリースは14:00 UTC(英国夏時間15:00)に予定されています。PHP Foundationの発表とあわせて、英国の国立サイバーセキュリティセンター(NCSC)は、組織に対して脆弱なシステムを特定し、パッチが提供され次第適用できるよう準備するよう呼びかけています。同機関によれば、迅速な修復が不可能な場合、リスクを緩和できるまで影響を受けるシステムをオフラインにすることを検討すべきとしています。
事前通知が管理者に準備の時間を確保
PHP Foundationによる事前警告は、セキュリティ修正が提供される前に管理者が準備を整えられるよう設計されたものです。リリースが短期通知で前倒しになる可能性があるため、準備はパッチ公開まで待つことはできません。
PHP(PHP Hypertext Preprocessor)は、ウェブサイトやウェブアプリケーションの構築に広く使われているサーバーサイドのスクリプト言語です。バックエンドのロジックを処理し、データベースとやり取りし、ユーザーのブラウザにページを送る前に動的コンテンツを生成します。こうした広範な役割を担うため、インターネットに公開するウェブサイトやアプリケーションを運用する組織にとってPHPのセキュリティは重要であり、言語自体の脆弱性は、その性質や悪用可能性によっては依存するシステムを危険にさらす可能性があります。
NCSCは、組織インフラ全体でPHPを稼働するすべてのシステムを特定することを推奨しており、組織の外部から直接アクセス可能なインターネット公開システムを優先すべきとしています。管理者はこれらのシステムで不審なアクティビティを監視し、PHPの公式ガイダンスに従うことも求められます。さらに同機関は、PHPをバンドルした製品やサービスを提供するサードパーティベンダーからの更新情報も継続的に確認するよう助言しています。
PHP FoundationはXに事前通知を投稿しました。
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
— The PHP Foundation (@ThePHPF) October 20, 2026
アップデートがウェブサイト運営者に与える影響
今回のリリース予定により、セキュリティチーム、ホスティング事業者、アプリケーション運用者には即時の準備期間が生まれます。パッチが提供され次第、管理者は影響を受けるシステムを評価し、適切なアップデートを速やかに適用する必要があります。
PHP Foundationはまた、ボランティアが維持するRemi RPMリポジトリに依存しているユーザーに対し、リリース当日にはそちらでアップデートが提供されないと警告しています。即座に修正を適用するには、ディストリビューションのパッケージに切り替えるか、ソースからPHPをビルドすることを推奨しています。この警告は、パッチ適用プロセスが同リポジトリに依存している運用者にとって重要であり、事前に代替のインストール方法を用意できるかどうかが迅速なアップデートの可否を左右する可能性があります。
NCSCはさらに、即時の修復が実現できない場合にはシステムをオフラインにすることを推奨しています。この予防措置は、管理者が完全な修正に取り組む間の曝露を減らせますが、ウェブサイトの可用性が損なわれる可能性があります。
PHPベースのインフラを運用する暗号資産関連企業、取引所、ウォレット提供事業者にも、同じ準備の原則が当てはまります。パッチ提供後に修復を先延ばしにすれば、影響を受けるサービスはセキュリティリスクに直面しかねません。最優先事項は準備であり、その後は迅速なパッチ適用と継続的な監視です。
セキュリティリリースが提供され技術的詳細が公表されるまでの間、管理者はどのシステムが脆弱かを推測するのではなく、PHP FoundationとNCSCの公式ガイダンスに従うべきです。
この記事はBlockonomiの報道に基づいています。
