ホーム
コンテンツセンター
コンテンツセンター
Webコンテンツ
脅威分析 ◦ 脅威対応 ◦ セキュリティインサイト

PHP で重大な脆弱性2件を確認…Web サーバーへの攻撃リスクで緊急アップデートが必要

Web サイトや Web アプリケーションの開発に広く使われている PHP で、Web サーバーへの攻撃につながるおそれのある重大な脆弱性2件が確認されました。いずれも認証なしでリモートコード実行（RCE）が可能で、CVSS v4.0 のスコアは9.2と評価されています。PHP セキュリティチームは2026年10月21日にセキュリティアップデートを公開し、直ちに適用するよう推奨しました。

今回の脆弱性は、PHP を利用するさまざまな Web サーバー環境に影響を及ぼすおそれがあり、注意が必要です。韓国でも脆弱な PHP バージョンを使用していると推定されるホストが約11万件観測されており、企業は運用中の PHP 環境を点検し、速やかにセキュリティアップデートを適用する必要があります。

PHP とは

PHP（PHP: Hypertext Preprocessor）は、Web サイトや Web アプリケーションの開発に広く使われているサーバーサイドのスクリプト言語です。

ユーザーが Web サイトにアクセスすると、サーバー上で PHP コードが実行され、その結果が Web ページとしてユーザーに送られます。これにより、ログイン、会員情報の管理、掲示板、データベース連携、オンライン決済など、さまざまな Web 機能を実装できます。

PHP は、ワードプレス（WordPress）やドルーパル（Drupal）など、広く使われているコンテンツ管理システム（CMS）の基盤技術としても利用されています。そのため、PHP 自体にセキュリティ上の脆弱性が生じると、それを使用する Web サイトや Web アプリケーションだけでなく、サービスを運用するサーバー環境にも影響を及ぼすおそれがあります。

CVSS スコア9.2の重大な脆弱性2件、リモートコード実行の可能性を確認

PHP セキュリティチームは2026年10月20日の公式発表で、CVSS（Common Vulnerability Scoring System）v4.0 のスコアが9.2と評価された重大な脆弱性2件について、セキュリティアップデートの公開を予告しました。

続いて10月21日に正式なセキュリティアドバイザリを公開し、これらの脆弱性によって未認証の攻撃者によるリモートコード実行が可能になるおそれがあることを、公式に認めました。

今回公開された CVE-2026-109618 と CVE-2026-109619 は、いずれも PHP 内部のリクエスト処理で発生する脆弱性です。発生原因は異なりますが、未認証の攻撃者がリモートから任意のコードを実行できるという共通点があります。主な内容は次のとおりです。

項目 CVE-2026-109618 CVE-2026-109619
脆弱性の種類 メモリ不足の処理におけるデータ破損 解放済みメモリに関連する内部状態の再利用
主な原因 リクエストデータが完全に初期化されていない状態で、メモリ不足により処理が中断され、その後のクリーンアップ処理で不正なデータを有効なものとして扱う可能性 リクエスト処理に使用された内部状態がメモリ解放後も残り、後続のリクエストで初期化前に再利用される可能性
想定される影響 認証なしでのリモートコード実行 認証なしでのリモートコード実行
深刻度 CVSS v4.0 9.2 CVSS v4.0 9.2

[表 1] PHP の重大な脆弱性2件の主な内容

いずれの脆弱性も、CVSS v4.0 の深刻度で最も高い「緊急（Critical）」に該当します。実際の攻撃可能性や影響範囲は PHP のバージョンや Web サーバーの実行環境によって異なる場合があるため、企業は公式のセキュリティアドバイザリに基づいて、自社システムへの影響を確認する必要があります。

リモートコード実行（RCE, Remote Code Execution）とは、攻撃者がネットワークを介して対象システム上で任意のコードを実行できる脆弱性を指します。攻撃が成功すると、実行権限やシステム環境によっては、マルウェアの実行、情報の窃取、サーバーの侵害などにつながるおそれがあります。

PHP セキュリティチームは特に、今回の脆弱性が PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed など、Web リクエストを処理する PHP 環境に影響を及ぼすおそれがあると説明しました。

このうち Apache の mod_php 環境では、アプリケーションコードが実行される前に、未認証のリクエストだけで攻撃を引き起こせる事例が確認されており、相対的にリスクの高い環境と評価されています。

そのため、企業は PHP を利用した Web サイトの有無だけでなく、実際の Web サーバーの実行方式や構成も併せて点検する必要があります。

PHP セキュリティアップデートを公開、影響を受けるシステムは直ちに適用を

PHP セキュリティチームは2026年10月21日、2件の脆弱性を修正するセキュリティアップデートを公開しました。PHP 8.2 から8.5までの各バージョン系列に修正版が提供されており、PHP セキュリティチームはこれらのバージョンを使用するすべてのユーザーに、直ちにアップデートするよう推奨しました。

公式発表による修正版は次のとおりです。

PHP バージョン系列 セキュリティアップデートのバージョン
PHP 8.5 8.5.12
PHP 8.4 8.4.27
PHP 8.3 8.3.36
PHP 8.2 8.2.35

[表 2] PHP の重大な脆弱性に対応するセキュリティアップデートのバージョン

上記のバージョンは、2026年10月21日の PHP セキュリティチームの公式発表に基づいています。企業は運用中の PHP バージョンを確認し、そのバージョン系列に対応するセキュリティアップデートを適用する必要があります。Linux ディストリビューションやマネージドサービスの環境では、ベンダーが別途提供するセキュリティ修正も確認する必要があります。

PHP セキュリティチームは、今回の脆弱性の深刻さを考慮し、PHP 7.4、8.0、8.1 のソースコードに適用できる最小限のセキュリティ修正も提供したと説明しました。

ただし、これは公式サポートが終了したバージョンに対する通常のセキュリティサポートが再開されたことを意味するものではありません。長期的には、サポート対象の PHP バージョンへの移行が必要です。

PHP セキュリティチームは、一時的な緩和策だけでは脆弱性を完全に解消できず、セキュリティアップデートが唯一の根本的な対策であると強調しました。

韓国でも約11万件の PHP ホストが露出していると推定

PHP は世界中の Web サイトや Web アプリケーションで広く使われているため、重大な脆弱性が発見された場合、多数のインターネットサービスが影響を受けるおそれがあります。

AhnLab TIP で紹介されたインターネット上の資産検索に基づく調査によると、脆弱な PHP バージョンを使用していると推定されるホストは、米国で548,420件、中国で235,906件、ドイツで193,470件観測されました。

韓国でも112,183件のホストが観測され、全体の約4.35%を占めています。

国 観測されたホスト数 割合
米国 548,420 21.27%
中国 235,906 9.15%
ドイツ 193,470 7.50%
日本 151,039 5.86%
フランス 121,706 4.72%
韓国 112,183 4.35%

[表 1]. 脆弱な PHP バージョンを使用していると推定されるホストの国別観測状況（上位6か国、AhnLab TIP 提供資料に基づく）

これらの数値は、インターネット上の資産検索で観測された PHP ホストに関する推定値であり、すべてのホストが今回の脆弱性の影響を受ける、あるいは実際に攻撃可能な状態にあることを意味するものではありません。リスクの有無を正確に判断するには、PHP のバージョン、サーバーの実行環境、セキュリティ設定、パッチの適用状況などを総合的に確認する必要があります。

企業の Web サイトと Web アプリケーションへの影響

PHP は企業のホームページだけでなく、顧客ポータル、EC サイト、コンテンツ管理システム、社内業務システムなど、さまざまな Web サービスで使われています。

特に今回の脆弱性は、Web アプリケーションの特定の機能に限らず、PHP 内部のリクエスト処理に関係しているため、Web サーバーの実行環境とセキュリティ設定を併せて確認することが重要です。

PHP セキュリティチームは、Apache の mod_php 環境ではアプリケーションコードの実行前に攻撃が引き起こされる可能性があると説明しました。そのため、Web アプリケーションに別途認証機能を実装していても、サーバー環境によっては脆弱性を悪用する攻撃を十分に防げないおそれがあります。

また、企業が直接運用する Web サーバー以外に、外部ホスティング、クラウド、マネージドサービスの環境で PHP を使用している場合は、サービス提供元がセキュリティアップデートを適用しているか確認する必要があります。

Web サイトが正常に動作しているという事実だけで、脆弱性が存在しないと判断してはいけません。運用中の PHP バージョンとサーバー構成に基づいて、影響の有無を点検する必要があります。

PHP の脆弱性に対応するためのセキュリティ推奨事項

アンラボは、PHP を利用した Web サイトや Web アプリケーションを運用する企業に、次のセキュリティ対策を推奨します。

  1. PHP を使用する資産とバージョンの確認
    運用中の Web サーバーや Web アプリケーションで PHP が使われているか、またインストールされているバージョンを確認する必要があります。外部に公開されたサービスだけでなく、社内システム、クラウド、外部ホスティングの環境も点検対象に含める必要があります。
    特に PHP-FPM、Apache mod_php、php-cgi など、実際の PHP 実行環境も併せて確認し、脆弱性の影響を評価してください。
  2. 公式セキュリティアップデートの即時適用
    PHP セキュリティチームが公開した修正版への速やかなアップデートが必要です。
    現在公開されている修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。Linux ディストリビューションやマネージドサービスの環境では、ベンダーが提供するセキュリティアップデートを確認する必要があります。
    アップデート後は、実際に適用されたバージョンと、サービスが正常に動作するかを検証してください。
  3. アップデートが困難な環境では一時的な緩和策を検討
    直ちにアップデートすることが難しい場合は、PHP セキュリティチームの公式な推奨事項に従い、脆弱性ごとに一時的な緩和策を検討できます。
    CVE-2026-109619 については、session.upload_progress.enabled=0 を設定し、PHP ワーカープロセスを再起動する方法が示されました。PHP 8.5 環境では、fatal_error_backtraces=0 の設定も、特定の攻撃経路を減らすのに役立つ可能性があります。
    CVE-2026-109618 については、PHP のメモリ制限、ファイルアップロードのサイズ、HTTP リクエストの処理制限などを調整する方法が案内されました。
    ただし、これらの措置は特定の攻撃経路のリスクを軽減するためのもので、脆弱性を完全に解消するものではありません。また、サーバーの性能やサービスの機能に影響を及ぼす可能性があるため、公式のセキュリティアドバイザリで詳細な条件を確認してから適用する必要があります。
  4. Web サーバーの異常な動作に対する監視の強化
    Web サーバーのアクセスログやエラーログを点検するとともに、異常な HTTP リクエスト、プロセスの実行、不審なファイルの作成などの兆候を監視してください。
    公式に確認された攻撃指標や検知ルールが公開された場合は、それらを検証したうえでセキュリティ監視に反映する必要があります。
  5. PHP 公式サイトで最新のセキュリティ情報を継続的に確認
    今回の脆弱性については公式のセキュリティアップデートが公開されていますが、今後、追加の技術情報やセキュリティアドバイザリ、後続のアップデートが公開される可能性があります。
    そのため、企業や Web サイトの運用者は、PHP 公式サイトで最新のセキュリティ情報や修正版、ベンダーごとのアップデート情報を継続的に確認する必要があります。
    特に、運用中の PHP バージョンに関する追加のセキュリティアップデートが発表された際に、速やかに影響を評価して適用できる管理体制を維持することが重要です。
    PHP 公式サイト: https://www.php.net/
    PHP 公式セキュリティアドバイザリ（2026年10月21日）: https://www.php.net/archive/2026.php#2026-10-21-5
    PHP のダウンロードとアップデート: https://www.php.net/downloads.php

重大な脆弱性への対応の鍵は、迅速なアップデートと継続的な管理

今回の PHP の脆弱性は、認証なしでリモートコード実行が可能という点で、企業が特に注意すべきセキュリティ上の問題です。

PHP はさまざまな Web サービス環境で使われているため、脆弱なバージョンを使用するサーバーが外部に公開されていれば、セキュリティリスクが生じるおそれがあります。

PHP セキュリティチームは、今回の脆弱性に対する修正版をすでに公開しており、一時的な緩和策だけでは十分な保護が難しいと強調しました。

そのため、企業は運用中の PHP の使用状況とバージョンを速やかに確認し、公式のセキュリティアップデートを適用する必要があります。併せて、PHP 公式サイトの最新のセキュリティ情報を継続的に確認し、Web サーバーの異常な動作を監視することで、追加のセキュリティリスクに対応する必要があります。

一方、今回の脆弱性の公開後、GitHub では関連する PoC や点検・防御ツールが次々に登場しています。アンラボが GitHub の「php2shell」に関連するリポジトリ100件を分析したところ、攻撃の再現を目的とするリポジトリだけでなく、検知・緩和ツールも多数確認されました。

次回のコンテンツでは、こうした公開リポジトリの拡大状況と実際のセキュリティリスク、公開コードを利用する際の注意点を取り上げます。

参考資料

  1. PHP Security Team, Security advisory: Critical remote code execution vulnerabilities, update now, 2026. 10. 21.
  2. PHP 公式サイト, PHP Downloads
  3. AhnLab TIP, 「PHP、CVSS スコア9.2の重大な脆弱性2件、緊急セキュリティアップデートの公開を予告」, 2026. 10. 21.


パッチおよび参考リンク


リスト