お知らせ
PHPの重大な脆弱性(2026年10月)について|G.O.A.Tの対応と確認していただきたいこと
2026年10月、Webサイトで広く使われているプログラム言語「PHP」に、重大な脆弱性が公表されました。この記事では、今回の件の概要と、G.O.A.Tの対応、室蘭市近郊の企業・事業者様にご確認いただきたいことをお知らせします。
今回公表された、PHPの重大な脆弱性とは
PHPの開発元は2026年10月21日、2件の重大な脆弱性(CVE-2026-109618、CVE-2026-109619)を修正した版を公開しました。深刻度は、共通の評価基準であるCVSS v4.0で9.2です。この2件は「PHP2shell」とも呼ばれています。
悪用されると、ログインしていない第三者が、遠隔からプログラムを実行できるおそれがあります。IPA(情報処理推進機構)とJPCERT/CCは、10月22日に注意喚起を公表しました。
修正版のバージョン
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1以前はサポートが終わっており、開発元の修正版は提供されません。IPAは、サポートされているバージョンへの更新や、対策済みの製品やサービスへの移行の検討を案内しています。PHP 8.2も、2026年12月31日にサポートが終わります。
影響を受ける可能性があるのは、どのようなサイトか
PHPで動いているWebサイトやシステムです。WordPressもPHPで動いています。IPAは、VPN機器やセキュリティ製品の管理画面など、内部でPHPを使う製品も影響を受ける可能性があるとしています。
ただし、PHPを使っているサイトがすべて被害を受けたわけではありません。影響は、PHPのバージョンや環境によって異なります。
現在の状況
- 米国CISAは10月26日(現地時間)、悪用が確認された脆弱性の一覧に2件を掲載しました。
- JPCERT/CCは、悪用を試みる通信の観測が相次いでいることを伝えています。10月29日の更新では、あるファイアウォール製品への侵害を示唆する痕跡も報告しました。
- IPAは、国内での攻撃被害の事例は把握していないとしています(2026年11月2日更新時点)。
- 大阪市は10月22日、安全性の確認が完了するまで関連するサービスの利用を停止すると発表しました。発表時点で、不正アクセスや情報漏えいは確認されていないとしています。
G.O.A.Tの対応
当社のWebサイトと、当社で制作・保守を担当したWebサイトは、すべて確認と必要な対応を済ませています。
- 対象:当社のWebサイト、保守契約をいただいているWebサイト、制作のみを担当したWebサイト
- 時期:修正版の公開を受けて即日
- 確認方法:当社の技術者による確認と、サーバー会社への確認
- 被害の報告:ありません(2026年11月7日時点)
当社で制作・保守を担当したサイトをお持ちで、気になることがあれば、お気軽にお問い合わせください。
室蘭市近郊の企業・事業者様へ
他社で制作したサイトや、保守の契約をしていないサイトは、更新の担当者を確認することから始めてください。次の3点が分かれば、判断しやすくなります。
- サイトが動いているPHPのバージョン
- PHPやWordPressを更新する担当者
- バックアップの有無と、戻し方
ご自身での確認が難しい場合は、税込5,000円のWebサイトセキュリティ診断をご利用ください。修正、作り直し、リニューアルのご相談も承ります。
参考情報
- PHP公式:セキュリティ情報(2026年10月21日)
- IPA:PHPの脆弱性対策について
- JPCERT/CC:注意喚起(JPCERT-AT-2026-0033)
- 大阪市:PHP脆弱性情報への対応に伴うサービス等の利用停止について
この記事の情報は2026年11月7日に確認したものです。最新の情報は各機関のページをご確認ください。
