PHP の脆弱性とは
PHP は、Web サイトを動かすためのプログラムの言語です。WordPress をはじめ、国内の多くのサイトや予約・問い合わせのフォームが PHP で動いています。 今回、その PHP 本体に、外から攻撃できる重大な欠陥が見つかりました。
| 公表 | 2026年10月20日（PHP の開発チーム）。修正版は10月21日に公開 |
|---|---|
| 番号 | CVE-2026-109618、CVE-2026-109619（2件） |
| 深刻度 | 9.2（CVSS v4.0。10点満点で、最も重い「緊急」の区分） |
| 起きること | ログインなしのリクエスト1回で、サーバーを乗っ取られる（遠隔でプログラムを動かされる）おそれ |
| 対象 | Web で動く PHP のほぼすべて（PHP-FPM・Apache の mod_php・php-cgi・FrankenPHP・LiteSpeed など）。mod_php が最も危険とされています |
| 修正版 | 8.5.12／8.4.27／8.3.36／8.2.35 |
| 8.1 以前 | 公式の更新はありません。8.2 以上への移行が必要です |
| 攻撃の状況 | 攻撃できることは実証されています（10月22日時点の報道） |
出典：PHP 公式サイト、ITmedia NEWS（10月22日）、Impress Watch。 情報は 2026年10月22日時点のものです。
あなたの会社は対策済みですか
次の3つを確かめてください。1つでも分からなければ、無料診断で確かめられます。
- 確認 1
サイトで PHP を使っていますか
WordPress のサイト、ページの URL が「.php」で終わるサイト、レンタルサーバーのサイトの多くは PHP で動いています。
- 確認 2
PHP の版は修正版ですか
修正版は 8.5.12／8.4.27／8.3.36／8.2.35 です。8.1 以前は公式の修正がありません。
- 確認 3
契約先のお知らせを確認しましたか
レンタルサーバーでは、会社側でまとめて更新していることがあります。古い版を使い続けている場合の扱いは会社ごとに違います。
無料診断で分かること
外からは、PHP の版はほとんど分かりません。サイト専用の確認ファイルを置いていただくと、実際に動いている PHP の版を読み取って、次のどれかで結果をお出しします。
修正版に更新済み
この脆弱性について、PHP の更新は必要ありません。
更新が必要
修正版への更新の手順をお出しします。
公式の修正がない古い版
8.2 以上への移行の手順と、移行で起こりうる不具合の確かめ方をお出しします。
提供元の修正の確認が必要
OS に付属の PHP は、番号が古いまま修正だけ取り込まれていることがあります。確かめ方をお出しします。
版を確かめられていない
PHP は使っていますが、確認ファイルが置かれていない場合です。
PHP は見つからなかった
外から見た範囲で、PHP を使っている手がかりがない場合です。
「対策済み」は、修正版の番号を確かめられたときだけお出しします。番号を確かめられないときは「確認が必要」とし、確かめ方を案内します。
診断の流れ
STEP 1
URL を入力
ログインして、診断したいサイトの URL を入れます。
STEP 2
確認ファイルを置く
サイト専用の PHP のファイル（aisec-php-check.php）をダウンロードし、サイトのいちばん上のフォルダに置きます。サイトの持ち主であることの確認も、これで済みます。
STEP 3
診断
PHP の版に加えて、通信の暗号化・セキュリティの設定・入力欄の脆弱性・メールのなりすまし対策など、ほかの項目もまとめて確かめます。
STEP 4
結果
PHP の判定と更新の手順は無料で表示します。ほかの脆弱性は件数と重さまで無料、一つ一つの詳しい内容と直し方は詳細レポート（2,980円・税込）です。
| 結果の中身 | 無料診断 | 詳細レポート（2,980円・税込） |
|---|---|---|
| PHP の判定と更新の手順 | ○ | ○ |
| ほかの脆弱性の件数と重さ | ○ | ○ |
| ほかの脆弱性の詳しい内容 | — | ○ |
| ほかの脆弱性の直し方 | — | ○ |
版が古い（8.1 以前）場合
8.1 以前には公式の更新が無く、8.2 以上へ移る必要があります。版が大きく変わるため、古い書き方が使えなくなるなどで、サイトの一部が動かなくなることがあります。
公開前診断では、お預かりしたコードから、版を上げると使えなくなる書き方を洗い出し、どこが壊れうるかと、その確かめ方（テストケース）をお届けします。 詳細診断を組み合わせると、版を上げたテスト環境で、AI が実際に操作して確かめます。
よくある質問
WordPress とプラグインは最新にしています。それでも必要ですか
はい。今回の脆弱性は PHP 本体の問題です。WordPress やプラグインを更新しても直りません。PHP の版を確かめてください。
外から PHP の版を調べられないのですか
ほとんどのサイトは版の番号を外に出していません。攻撃のリクエストを送って確かめることは、法律上も安全上もできません。そのため、確認ファイルを置いていただいています。
確認ファイルを置いても安全ですか
ファイルは、このサイト専用の確認用の文字列を付けて呼んだときだけ、PHP の版・動かし方・OS の名前を返します。それ以外には何も返しません。診断が終わったら削除してください。
ファイルの置き方が分かりません
セットアップサポート（3,980円・税込）で、画面共有しながら置き方から診断の完了までお手伝いします。
他社や取引先のサイトも診断できますか
できません。サイトの持ち主であることを確かめられたサイトだけを診断します。
8.1 以前を使っています。版を上げると何が起きますか
版が大きく変わるため、古い書き方が使えなくなるなどで、サイトの一部が動かなくなることがあります。公開前診断で、コードから版を上げると壊れる箇所を洗い出し、確かめる手順（テストケース）をお届けします。
無料診断は何回できますか
1つのサイトにつき1回です。