PHPは10月21日、バージョン8.5.12、8.4.27、8.3.36、8.2.35をリリースし、CVE-2026-109618およびCVE-2026-109619、つまり深刻度10点満点中9.2と評価され、認証なしのリモートコード実行を可能にする2件の脆弱性に対処した。

これらの脆弱性を受けて、詳細が予定より早く明らかになった後、フィンランド、オランダ、フランスは予防措置として政府ウェブサイトをオフラインにした。Cloudflareもパッチ公開の数時間前に攻撃を報告した。米国家安全保障局(NSA)はPHPを利用する組織に対しサイトのシャットダウンを勧告し、オーストラリア、日本、英国の機関も同様の指針を示した。

ほとんどのインターネット利用者がインストールすべきものはない。修正の適用責任は、ウェブサイト運営者、ホスティング企業、PHPサーバーを管理する組織にある。PHP 8.1以前は通常の公式リリースを受けないが、事態の深刻さを踏まえ、PHPのセキュリティチームは一部の旧バージョン向けに限定的なソースコードパッチを公開した。

W3Techsによると、PHPはサーバーサイド言語が判明しているウェブサイトの約70%で稼働している。このプログラミング言語はサーバー上で動作し、ウェブサイトの保存や訪問者が要求するページの生成を担う。例えば、WordPressサイトは一般的にPHPサーバーに依存していると、WordPressセキュリティ企業のWordfenceが説明している。

この2件のバグにより、攻撃者はログインせずにPHPサーバー上でコマンドを実行できる可能性がある。この種の脆弱性は「認証なしリモートコード実行」と呼ばれる。サーバーその保存データによっては、攻撃が成功した場合、アカウント情報、住所、注文履歴などの機密情報が漏えいする恐れがある。

ホスティング大手のGoDaddyは、この脆弱性により攻撃者がデータを盗んだり、ウェブサイトを汚損したり、サーバーを完全に掌握したりする可能性があると警告した。

「この種の脆弱性により、攻撃者はインターネット経由で影響を受けるサーバー上で独自のコードを実行でき、データの盗難、サイトの汚損、または完全な乗っ取りにつながる可能性があります」とGoDaddyはセキュリティ更新情報で述べた。

PHPのセキュリティ発表

この言語の開発を支援する非営利団体であるPHP Foundationは、10月20日に事前警告を発した。X上で共有された声明で同財団は次のように述べた。

「The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.」

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence. — The PHP Foundation (@ThePHPF) October 20, 2026

共通脆弱性評価システム(CVSS)は、インターネット経由での悪用の容易さや潜在的影響などの要素に基づき、脆弱性を0から10で評価する。9.0以上は「緊急(クリティカル)」に分類される。

PHPは10月21日13時35分(UTC)頃、発表時刻の約25分前に修正をリリースした。セキュリティ勧告は「すべてのPHPユーザーに直ちに更新することを強く推奨する」と述べた。リリースが1日前倒しされたのは、脆弱性に関する情報が公に流通し始め、攻撃の痕跡が確認されたためである。

脆弱性の仕組み

CVE-2026-109618は、PHPがリクエスト処理中にメモリを使い果たし、その後、途中まで構築されたデータを完成済みとして扱うことで発生する。CVE-2026-109619は、ある訪問者のリクエストの残骸が破棄されるべき時点を過ぎてもメモリに残り、後続のリクエストがそれに接触できるようにするものである。

リスクが最も高いのは、一般的なApache設定であるmod_phpを使用するサーバーだ。PHPによると、実証されたエクスプロイトは「アプリケーションコードが実行される前に」機能する。つまり、ログイン画面やWordPressセキュリティプラグインなど、ウェブサイト自身が実装する防御が介入する機会を得られない可能性がある。

PHP Foundationの研究者らは、PHPのアップロード進捗機能を脆弱性への confirmed な侵入経路の一つとして特定した。この機能はファイルアップロードの進捗を追跡するもので、10年以上デフォルトで有効になっており、実際に利用しているウェブサイトは多くない。

さらに詳しい技術情報は、PHPセキュリティアーカイブ、watchTowrの分析)、[CVE-2026-109619のNVDエントリで確認できる。PHPのドキュメントには関連するセッション設定についても記載がある。

パッチ公開前にリークした詳細

当初、 disclosure は予定されたリリースより前に行われる予定はなかった。火曜日、Hacker Newsフォーラムのある利用者が、2件のPHP脆弱性が木曜日に公開されると投稿したが、その主張には「『ソース:俺を信じて』以上の根拠はない」と認めていた。投稿はこちらで確認できる。

その後、セキュリティ企業watchTowrが脆弱性が本物であり、修正準備が整うまで技術的詳細を非公開にする合意であるエンバーゴの対象であることを確認し、PHPはリリースを前倒しした。

CloudflareのCTO、Dane Knechtは水曜早朝、X上で、パッチ公開の約6時間前に攻撃がすでに始まっていたと述べた。Cloudflareは無料プランの顧客を含む全顧客に緊急のWebアプリケーションファイアウォール(WAF)ルールを展開したが、Knechtはこれらのルールを一時的な対策にすぎないと述べた。

「PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show… — Dane Knecht 🦭 (@dok2001) October 21, 2026」

元の投稿はDane KnechtのXアカウントからも確認できる。

政府がウェブサイトをオフラインに

フィンランドの国家ITセンターValtoriは、公共放送Yleによると、予防措置として公共ウェブサービスのオフライン化を開始した。オランダの国家サイバーセキュリティセンターも自社のウェブサイトを停止した。

フランス内務省は、県のウェブサイトが「フレームワークの提供元によるセキュリティパッチの公開を待つ間、一時的にオフラインにされた」と述べた。

EUのサイバー緊急対応チームであるCERT-EUは、パッチを適用できない組織に対し、「修正が入手可能になるまで、インターネットに接するアプリケーションを公衆ネットワークから分離することを検討してほしい」と呼びかけた。

ロイターの報道によると、オーストラリア、日本、英国の機関も同様の指針を示した。ロイターの報道は、運営者が修正をインストールする準備をする間、ウェブサイトをオフラインにする必要が生じる可能性があるとも伝えた。

影響を受けるPHPバージョンをめぐる主張

X上で拡散された投稿は、2004年にさかのぼるPHPバージョンが影響を受けると主張した。この主張は、PHP 5以降のすべてのバージョンが影響を受けたとする初期の推定に由来し、CERT-EUはその評価がソーシャルメディアの投稿に基づくものだと認めた。

Eコマースセキュリティ企業のSansecは、響範囲をPHP 5.4以降と推定しており、それは2004年ではなく2012年にさかのぼることを意味する。PHPは公式にはバージョン8.2以降のみ現行リリースを提供している。ただし、これらの脆弱性の深刻さを踏まえ、セキュリティチームはPHP 7.4、8.0、8.1向けの基本的なソースコードパッチも公開し、Linuxディストリビューションは独自に修正をバックポートし始めた。

セキュリティ企業Malloryは、10月20日時点でPHP 8.1以前を公開しているインターネット接続ホスト約88万4000台を確認した。これは、PHPバージョンを公開している約150万台の可視ホストの59%に相当する。1台の共有ホスティングサーバーが多数のサイトを支援できるため、影響を受けるウェブサイトの数はさらに多い。Malloryの調査はこちら、Sansecの分析はこちらで確認できる。

一部のオンライン投稿では、Node.jsも話題に含まれていた。Node.jsは別のウェブ技術であり、たまたま同じ日に無関係なセキュリティアップデートが予定されていただけである。

PHP Foundationは、パッチ適用済みバージョンがすべての場所で同時に提供されるわけではないと警告した。同財団は声明で、「If you rely on the volunteer maintained we urge you to move to distro packages or building from source now, so you can immediately apply updates. The repo will not have updates today」と述べ、Red Hat系Linuxサーバー向けのボランティア運営によるPHPパッケージの提供元に言及した。パッケージリポジトリは で入手可能である。

ウェブサイトとデジタル資産への潜在的影響

侵害されたウェブサイトは、ブロックチェーンと直接やり取りしなくても、利用者のデジタル資産を危険にさらす可能性がある。2024年には、攻撃者がDeFiプロトコルCompoundとCelerのフロントエンドを、接続されたウォレットから資金を排出するように設計されたページへリダイレクトした。Curve Financeも2025年に同様の攻撃を受けた。これらの事案はPHPの脆弱性ではなくDNSハイジャックによるものだったが、訪問者から見た結果は似ている。ウェブサイトとURLは正当に見える一方で、承認操作がトークンを別の場所へ送ってしまう。

侵害されたPHPサーバーは、この種の不正ページを配信するために使用される可能性がある。脆弱なウェブインフラと暗号資産窃盗の関係については、起業家の@levelsioも言及し、X上でパッチを待つ間、自身のサイトとVPSサーバーを切断したと述べた。

「I pre-emptively disconnected ALL my sites / VPS servers from the web I'll wait for the patch to hit at 2 PM UTC If you have a PHP website, probably good to take them down until you patch PHP 69.3% of the web runs on PHP so this is going to be intense! Good time maybe to buy… — @levelsio (@levelsio) October 21, 2026」

投稿はon Xでも確認できる。CompoundとCelerの事案およびCurve攻撃に関する以前のDecryptの報道は、こちらとこちらで確認できる。

これらの脆弱性は、最先端の人工知能モデルがソフトウェアの欠陥の特定にますます活用される期に発生した。専門家は6月、Decryptに対し、こうしたツールの普及により、さらに多くの脆弱性が発見される可能性があると語った。Decryptの報道はこちらで確認できる。

ウェブサイト運営者がすべきこと

パッチが公開されると、攻撃者は脆弱なコードと修正済みコードを比較し、何が変更されたかを特定できる。Sansecのフォレンジックチームは、「リリースから15分以内に大規模攻撃が始まる」と予測した。2024年6月に別のPHP脆弱性が公開された際、Akamaiは24時間以内にデコイサーバーへの攻撃の試みを記録した。Akamaiの分析はこちらで確認できる。

電話、ブラウザ、個人のラップトップはPHPのアップデートを必要としない。対応はウェブサイトやサーバーを運用する組織に委ねられる。サイト運営者は、ホスティング事業者にPHPが更新されたかどうかを確認し、サーバーの管理責任者が誰であるかを特定すべきである。

Wordfenceは、WordPressの自動更新ではこの修正が適用されないと警告した。したがって、サイト運営者は、WordPressの更新で問題が解決すると想定するのではなく、PHP自体がパッチ適用されていることを確認する必要がある。

PHPコア開発者のGina Peter BanyardはMastodonで「The only thing I can say is that the only mitigation is patching / upgrading PHP」と述べ、「I sadly know too much」と付け加えた。投稿はこちらで確認できる。

PHP 8.1以前を運用する組織は、これらのバージョンが通常の公式リリースを受けないため、アップグレードを計画する必要がある。PHP 8.2の利用者も差し迫った期限に直面している。PHP 8.2は2026年12月31日にサポート終了を迎え、以後セキュリティパッチを受けられなくなる。