PHPの重大な脆弱性（CVE-2026-109618・109619）とは？ホームページ運営者が今日確認すること

2026年10月21日、PHP（ホームページやWebシステムで広く使われているプログラム言語）の開発元が、重大な脆弱性2件の修正版を公開しました。ニュースでご覧になった方も多いと思います。

「うちは専門外だから」と読み飛ばさないでください。この件は、歯科医院や工務店、店舗のホームページにも関係する可能性があります。リシンプルでは建築関連の会社や歯科医院のIT・AI導入をお手伝いしていますが、こうしたニュースが出たときに現場で最初に聞かれるのは、決まって「うちは大丈夫ですか？」です。この記事では、その答えを出すために最低限必要なことだけをまとめます。

※本記事は2026年11月5日時点の公開情報にもとづきます。最新情報は、IPA・JPCERT/CC・PHP公式の発表をご確認ください。

何が起きたのか

報じられている内容を整理すると、次のとおりです。

• CVE-2026-109618とCVE-2026-109619の2件で、いずれも認証なしで外部から任意のコードを実行されるおそれがある、とされています
• 深刻度はPHP側の評価でCVSS v4.0の9.2（Critical）。評価する機関によって数値は異なります
• 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
• 8.1以前は本体の更新が出ず、7.4・8.0・8.1向けに最小限のパッチ（ソースコードの修正）が提供されたと報じられています
• 公開前から攻撃の試みを観測したという報告があり、公開後は試行が急増したとする発表もあります

一方で、JPCERT/CCは、公開されている実証コードでの実際の攻撃成功は環境に依存すると説明しています。「必ず乗っ取られる」わけではありませんが、だからといって放置してよい理由にはなりません。

「任意のコードが実行される」とはどういうことか

専門用語を使わずに言うと、「サイトの持ち主ではない第三者が、サーバーの中で好きな命令を動かせてしまう状態」です。結果として、次のようなことが起こりえます。

• サイトの改ざん（偽の画面、不審な広告やリンクの埋め込み）
• サーバーに保存された情報の閲覧（問い合わせフォームの内容、会員情報など）
• サーバーを踏み台にした、ほかへの攻撃

Wizという会社の公開記事では、サーバーのメモリ上にあるパスワードやAPIキーが読み出せることも示されています。ホームページにお客様や患者様の情報を保存している場合は、特に注意が必要です。

今日確認すること（3つだけ）

専門知識がなくても、この3つは確認できます。

1. 自社のホームページはPHPで動いているか：WordPressで作られていれば、基本的にPHPで動いています。分からなければ、制作会社またはサーバー会社に聞いてください
2. PHPのバージョンはいくつか：「8.2〜8.5系の最新版（上記の修正版以降）」になっているかを確認します
3. 更新の担当者と日程は決まっているか：「誰が、いつまでに」を決めて、メールなど記録に残る形で依頼します

レンタルサーバーなら、自動で直る場合もある

多くのレンタルサーバー会社は、自社の対応状況をお知らせで公表しています。たとえば、さくらインターネットは10月22日付で対応状況のお知らせを出しています。契約しているサーバー会社の「お知らせ」や「障害・メンテナンス情報」を確認してみてください。

ただし、サーバー側で更新されたとしても、古いバージョンのPHPを手動で選んで使い続けている場合は、対象外になることがあります。管理画面でPHPのバージョン設定を確認しましょう。

次の記事以降で扱うこと

この件は一度の記事で語りきれません。本日から数回に分けて、次のことをお伝えしていきます。

• WordPressサイトではどこを見ればよいか
• 公開前に情報が漏れた経緯と、そこから学べること
• サポートが終了した古いPHPを使い続けるリスク
• そもそも、歯科医院などの小さなサイトにWordPressは必要なのか

リシンプルでは、AI導入やDX化とあわせて、既存のホームページの安全面の見直しについてもご相談を受けています。まずはお問い合わせからご連絡ください。

参考にした情報

• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
• piyolog「PHPの2件の深刻な脆弱性についてまとめてみた」
• Wiz「PHP2Shell」
• さくらインターネット「PHPの脆弱性に関する当社の対応状況について」