「PHPに重大欠陥」「ウェブの7割で使用」と聞くと、いつものサイトを開くだけでも危ないのか気になりますよね。『ヨハクシロ』のテツです。今回は、サイトを見る人と運営する人で、何を気にすればよいのかを調べました。
2026年10月22日に確認したPHP公式情報では、2件の重大な脆弱性を修正したバージョンが公開済みです。運営者には速やかな対応が必要ですが、「7割」は被害率ではありません。数字の意味と確認する順番を整理します。
PHPの重大欠陥、何が起きるおそれがある？
今回の問題は、PHPを使ってウェブからの要求を処理するサーバーに関係します。PHP開発チームは、認証を受けていない外部の攻撃者が、遠隔からコードを実行できる可能性のある脆弱性を2件公表しました。
コードの実行と聞くと分かりにくいですが、サーバー側で意図しない処理を動かされるおそれがある、ということです。情報の流出やサイトの改ざんにつながり得るため、見た目に異常がなくても対応を後回しにはできません。
識別番号はCVE-2026-109618とCVE-2026-109619です。名前を暗記する必要はありませんが、問い合わせに添えると、どのPHPの問題について聞いているのかを担当者と共有できます。
「ウェブの7割」が、そのまま被害を意味するわけではない
見出しの「7割」は、かなり大きく感じますよね。調査元のW3Techsで確かめると、69.3％はサーバー側のプログラミング言語を判別できたウェブサイトのうち、PHPを使うサイトの割合でした。
つまり、あらゆるウェブサイトを漏れなく数えた被害率ではありません。2026年10月21日表示の利用統計であり、攻撃を受けた割合でも、情報が流出した割合でもない。この区別は落ち着いて読んでおきたいところです。
広く使われている技術なので、影響を調べる必要のある運営者が多いことは分かります。ただ、自分のサイトが未対策かどうかは利用率から判断できず、実際に動いているPHPと提供元の対応状況が判断材料になります。
修正版は公開済み、使っている系列の番号を見よう
2026年10月22日の確認時点では、修正版は公開されています。10月21日に出された公開前の注意喚起だけを読むと「これから公開」と見えることがありますが、PHP公式の公開後の案内と合わせて読む必要があります。
修正版は系列ごとに用意されています。たとえば8.3系なら8.3.36が今回の修正版です。「8系だから大丈夫」「8.3を使っているから対応済み」とは判断できず、末尾まで含む番号や修正の適用状況が関係します。
なお、提供元が修正を取り込んだパッケージを配布する場合もあります。表示番号だけで未対策と決めつけず、サーバー会社やOSの提供元が、今回の2件への修正適用を明示しているかも合わせて見るのが確実です。
| 利用している系列 | 今回の修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
WordPressを更新したら、それで終わり？
ブログやお店のホームページでWordPressを使っているなら、今回の話は関係します。WordPressはPHPを必要とするソフトウェアなので、記事を書く管理画面とは別に、サーバーで動くPHPにも目を向ける必要があります。
ここで混同しやすいのが更新の場所です。WordPress本体、テーマ、プラグインと、サーバー側のPHPは別の対象。管理画面で更新を済ませたという理由だけで、PHPの修正まで終わったとは言い切れません。
WordPress公式の動作要件には推奨するPHPの系列も載っていますが、動作要件を満たすことと、今回の修正が入っていることは別です。僕なら「動くかどうか」と「この脆弱性への対応が済んだか」を分けて尋ねます。
テツ「更新済み」の一言でも、何を更新したのかで意味が変わるんですね
自分のPHPはどこで分かる？
WordPressでは、管理画面の「ツール」から「サイトヘルス」を開き、「情報」の「サーバー」でPHPのバージョンを調べられます。普段あまり開かない場所ですが、問い合わせ前に環境を把握する入口になります。
ただし、サイトヘルスは情報を表示する画面です。その場でサーバーのPHPを更新する機能ではありません。番号が見つかったら、契約中のレンタルサーバーの案内や、保守を任せている会社の連絡と照らし合わせます。
複数のサイトを持っている場合は、同じ契約内でも全部同じ設定とは限らない、と考えて一覧にすると確認漏れを減らせます。これは運用上の整理案で、サイト名、利用環境、確認先、対応状況を一緒に残すイメージです。
サーバー会社へ聞くなら、何を伝えればいい？
専門用語を調べ続けて手が止まるなら、問い合わせを具体的にする方が早いこともあります。「PHPのニュースを見ました」だけでなく、対象サイトと2件のCVE番号を添えると、担当者が対象を特定しやすくなります。
聞きたいのは、会社全体として対応予定があるかだけではありません。自分のサイトが動く環境に修正が適用されたか、利用者側の切り替えが必要か、まだならいつ対応するか。回答が対象サイトにつながっているかが大切です。
以下は問い合わせに入れる項目の例です。サーバー契約や保守契約によって作業の担当は変わるため、利用者が必ず手動更新するとは限りません。作業を誰が行うのかまで分かれば、待つだけでよいのかも判断できます。
- 対象サイトで2件の脆弱性への修正は適用済みか
- 利用者側の作業と、提供元が行う作業は何か
- 未対応なら、適用予定とそれまでの公開方針はどうなるか
すぐ更新できないときは、公開停止も選択肢に
更新が間に合わない場合について、CERT-EUは修正を適用し検証するまで、インターネット向けのアプリケーションを公開ネットワークから隔離することを検討するよう求めています。公開を続けるリスクも判断に入ります。
ただ、トップページに「メンテナンス中」と表示すれば十分なのかは別の話です。PHPへの外部からの要求を遮断できているかは構成に左右されます。停止する範囲と方法は、サーバー管理者や保守担当者と決める内容になります。
PHP公式には一部の攻撃経路を減らす暫定策もありますが、完全な解決は更新です。設定変更の断片だけをまねして「安全になった」と考えるのは避けたいところ。応急対応をした場合も、修正適用までの段取りが必要です。
古いPHPや、サイト以外の製品も気になる
PHP 8.1以前は、PHPプロジェクトによる通常の更新提供が終了しています。一部の提供元には修正を取り込む仕組みがありますが、古い系列だから今回の対象外ということではなく、提供元への確認や移行の検討が必要です。
また、IPAはウェブアプリケーション以外に、ソフトウェア製品やネットワーク機器の内部でPHPを利用する場合があると説明しています。自分でPHPを導入した覚えがないことだけでは、利用の有無は判断できないんですね。
とはいえ、身の回りの全製品について内部構造を調べるよう求めているわけではありません。IPAも、利用状況が不明な製品は提供元の情報を引き続き確認するという案内です。公表された対象製品と手元の製品を照合します。
見るだけの人と、運営する人では次の行動が違う
今回のPHP更新は、主にサイトやシステムを運営する側の作業です。ニュースを読んだだけで、閲覧者全員のスマホが感染したとは言えませんし、PHPという言葉を見かけたことだけで個別の情報流出も断定できません。
利用中のサービスが止まっているときも、停止の表示だけで被害の発生は分かりません。予防的な対応という可能性もあるため、再開時期や自分に必要な手続きは、そのサービスの公式なお知らせを基準にするのが自然です。
サイトを運営しているなら、最初の一歩は対象サイトのPHPと修正適用状況を把握することです。「会社が対応したらしい」で終わらせず、自分の環境について完了を確かめる。今回のニュースでは、そこまでを対応の区切りにしたいです。
