対策・学習51分で読める

【速報】PHPに重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）、IPA・JPCERT/CCも注意喚起：修正版 8.5.12・8.4.27・8.3.36・8.2.35 へ今すぐ更新

PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行されるおそれのある脆弱性2件（CVE-2026-109618、CVE-2026-109619、CVSS 9.2）を直した 8.5.12・8.4.27・8.3.36・8.2.35 を公開し、すぐ更新するよう求めました。10月22日にはIPAとJPCERT/CCも注意喚起を出しています。対象、更新の仕方、すぐ更新できないときの一時的な対策、レンタルサーバー各社の対応状況（10月22日13時45分時点）を整理します。

#脆弱性 #サーバー #PHP #WordPress #公開環境 #日本

公開日: 2026-10-21
更新日: 2026-10-22
最終確認: 2026-10-22

対象：PHPで動くWebサイトを運営している人（自社サーバー・VPS・クラウド・Docker・レンタルサーバー）と、WordPress・Laravel・EC-CUBEなどでサイトを作っている人。本記事はPHPの開発チームの公式発表と公的機関・事業者の発表にもとづく解説で、攻撃の手順は扱いません。

PHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開された。今日のうちに更新する

PHPの開発チームが、認証なしで遠隔からコードを実行されるおそれのある脆弱性2件を直した修正版を公開しました。完全な回避策はなく、更新だけが安全だとしています。

自分のサイトのPHPを、自分で更新するのか、事業者が更新するのかを確かめる
修正版（8.5.12、8.4.27、8.3.36、8.2.35）に上げ、PHP-FPMやWebサーバーを再起動してバージョンを確かめる
8.1以前は公式の更新がない。配布元に確かめるか、サポート中のバージョンに移す
レンタルサーバーは事業者のお知らせを公式サイトで確かめる
レンタルサーバーでは、事業者の完了のお知らせを確かめる。8.1以前を使っているなら事業者の案内に従う（一部の機能を止めたり、バージョンの変更を求めたりする事業者がある）
事業者を名乗る「緊急メンテナンス」「至急ログイン」のメールのリンクは開かない

続報待ち：この記事は公式発表に合わせて更新します

2026年10月22日13時45分（日本時間）時点

まだ分かっていないこと

実際の悪用の有無（公式の見解）
OSのパッケージの残り（RHEL 9のphp:8.4、Debianの開発版 forky・sid）
レンタルサーバー各社の適用完了（KAGOYA・ConoHa WING・お名前.com・CPIなど）

PHPの開発チームは10月21日に修正版を公開し、10月22日にはIPAとJPCERT/CCが注意喚起を出しました。多くのレンタルサーバーが適用の完了を知らせています。OSのパッケージの残りや、まだ完了を知らせていない事業者の対応は、確認できしだいこの記事に追記します。

公開された修正版と脆弱性（php.net の発表より）

PHPの開発チームは2026年10月21日、php.net にセキュリティ勧告（"Critical remote code execution vulnerabilities, update now"）と、各ブランチの修正版の公開を発表しました。

PHPの開発チームの発表（2026年10月21日）

修正版: PHP 8.5.12、8.4.27、8.3.36、8.2.35
CVE-2026-109618: メモリ不足（OOM）の処理で、内部のリクエストデータが途中までしか初期化されていない状態で処理が中断され、後片付けでその不正なデータが正しいものとして扱われうる。遠隔からのコード実行（RCE）につながる
CVE-2026-109619: リクエストに属する内部状態が、メモリを解放した後も残りうる。同じワーカーが次に処理するリクエストが、初期化前にその古い状態を使うおそれがある。遠隔からのコード実行（RCE）につながる
深刻度: どちらもCVSS v4.0で9.2
対象: Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）。mod_phpの危険が最も高く、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしている
8.1以前: PHPの開発チームからの更新はない。7.4・8.0・8.1向けに、ソースへの最小限の修正だけを用意した
配布元: Linuxの配布元と長期サポートの事業者には事前に修正が渡されている。配布元の更新パッケージを確かめるよう求めている
回避策: 完全な回避策はなく、更新だけが安全な選択だとしている（すぐ更新できない場合の一時的な対策は下の囲み）

すぐ更新できない場合の一時的な対策（開発チームの勧告より・安全にはならない）

開発チームは、更新できるまでの間、特定の攻撃経路を減らす設定を挙げています。ただし、どれもインストールを安全にするものではないとしています。主なものは、メモリ上限（memory_limit）やリクエストの大きさ（post_max_size など）の見直し、セッションのアップロード進捗機能（session.upload_progress.enabled）の無効化とワーカーの再起動、PHP 8.5では fatal_error_backtraces の無効化です。設定の細かな条件があるので、必ず公式の勧告を読んでから行い、修正版への更新を急いでください。

公開後の状況（2026年10月22日13時45分時点）

当サイトが確認した公開後の状況

公開時刻: GitHubのセキュリティ勧告は日本時間22時34分ごろ公開（予定の23時より約30分早い）
影響を受けるバージョン: 公式のGitHub勧告では、8.2.35・8.3.36・8.4.27・8.5.12より前の各バージョン。CVEの記録に載っているのは8.2〜8.5で、8.1以前は書かれていない（開発チームは7.4・8.0・8.1向けにソースの修正を用意した）
確認されている影響（勧告より）: CVE-2026-109618は、mod_phpで認証なしの遠隔コード実行を確認。PHP-FPMはソースの分析では影響を受けうるが、攻撃が完全に成り立つことは実証されていない。CVE-2026-109619は、mod_phpで遠隔コード実行を確認。PHP-FPMでも、セッションのアップロード進捗の経路で遠隔コード実行が実証されたが、アプリケーション側の特定の処理が必要な条件付き
日本の公的機関: IPAは10月22日、「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」を公表した。10月21日の事前準備のお願いの続報で、修正版（8.2.35・8.3.36・8.4.27・8.5.12）への更新を求めている。サポートが終わった8.1以前を使っている場合は、サポート中のPHPや対策済みの製品・サービスへの移行を検討するよう求め、有効な暫定対策が難しい場合は、外部からのアクセス遮断やサービスの一時停止が必要か判断するよう求めている。また、調査に関わったセキュリティ企業の見解として、PHP 5.4以降はどちらかの脆弱性の影響を少なくとも受けると紹介している（PHPの開発チームの発表ではない）。JVNも同日10時30分に JVNVU#99905564 を公開し、パッチの適用を求めている。JPCERT/CCも同日、注意喚起（JPCERT-AT-2026-0033）を出し、速やかな修正版の適用と侵害有無の調査を求めている。侵害を調べるときの着眼点も示している
米CISA: CISAは10月21日に注意喚起を出し、すぐ修正版に更新するよう求めた。公表の時点で悪用は観測していないとしている。すぐ更新できない組織や、サポートが終わった8.1以前を使い続ける組織には、修正や更新ができるまでPHPのシステムをオフラインにするよう求めている。「悪用が確認された脆弱性」の一覧（KEV）には載っていない（10月21日版）
実際の悪用: PHPの開発チームの発表はなく、CISAも公表の時点で悪用を観測していないとしている。一方、複数のセキュリティ企業やCDN事業者が、攻撃や探索の通信を観測したと発表している（CDN事業者の発表、報道機関のまとめ）。報道によれば、1社は「大規模に悪用されている」と述べたが数字は示しておらず、別の1社は「成功した攻撃はまだ観測していない」としている。別のセキュリティ企業は、提携先のシステムで実際の悪用は観測していないとしている（10月21日時点）。WordPress向けのセキュリティ企業も、自社の記事で「侵入の確かな証拠はない」としている。侵入が確定したと発表した例は、10月22日13時45分時点で見当たらない
OSのパッケージ: Ubuntuは全リリースに修正を出した（USN-8948-1・USN-8948-2）。Debianは13（DSA-6574-1）と12（DLA-4848-1）に修正を出した。開発版（forky・sid）向けの修正済みパッケージはまだビルドされていない。Red HatはRHEL 8〜10の多くの版に修正を出し（深刻度「重要」、access.redhat.com）、10月21日にRHEL 8のphp:8.2も加えた（RHSA-2026:87073）。RHEL 9のphp:8.4はまだ対応中で、RHEL 6・7はCVE-2026-109618について「調査中」になった。Alpineも8.5・8.4・8.3の修正版を出した。OSのパッケージで入れているPHPは、配布元の更新をすぐ当てる
Docker公式イメージ: latest・8.5・8.4・8.3・8.2のタグ（-apache・-fpmなどを含む）が、すべて修正版（8.5.12・8.4.27・8.3.36・8.2.35）に切り替わった（hub.docker.com）。サポートが終わった8.1以前のタグは更新されていない。イメージを取り直し、コンテナを作り直さないと修正は反映されない
NVD: 2件とも、NVD自身の評価はCVSS 3.1で9.8（Critical）。PHPの開発チームの評価はCVSS v4.0で9.2（nvd.nist.gov）
「修正が不完全」との書き込み: 脆弱性の情報を共有するメーリングリストで、「8.5.12の修正が不完全かもしれない」という書き込みがあったが未確認。PHP側は無関係だと答えたと別の書き込みが伝えている（又聞き）。10月22日13時45分時点でも、PHPの開発チームの公式な見解は出ていない
Windows: 修正版のWindows用ビルドは公開済み
remirepo: 有志が運営するリポジトリ（rpms.remirepo.net）は当日中の更新はないと開発チームが告知し、配布元のパッケージかソースからのビルドに切り替えるよう求めている

事前の告知（10月20日）

PHPの開発チーム（PHP security team）は前日の2026年10月20日、php.net に「Upcoming Critical PHP Security Release」という告知を出していました。内容は次のとおりです。

PHPの開発チームの告知（2026年10月20日）

公開予定: 2026年10月21日（水）14時（UTC）＝日本時間の同日23時
対象: 重大な（critical）脆弱性2件
深刻度: どちらもCVSS v4.0で9.2
呼びかけ: すべてのPHP利用者に、公開後すぐ更新できるよう今から準備するよう求めている
前倒し: どちらかの脆弱性の詳細が公になった場合や、実際の悪用の証拠が出た場合は、予定より早く公開する可能性がある
まだ公表されていないこと: 脆弱性の詳細、影響を受けるバージョン、修正版。いずれもリリースと同時に公表される
告知時点の最新版: 8.5.11、8.4.26、8.3.35、8.2.34（いずれも2026年9月24日公開のセキュリティリリース）

CVSSは脆弱性の深刻度を0〜10で表す指標で、9.0以上は最も重い「Critical」に分類されます（詳しくは CVSSとは）。IPA（情報処理推進機構）も10月21日に「事前準備のお願い」を出し、PHPを使うプログラムの棚卸しを呼びかけています。IPAは、PHPがWebアプリケーションだけでなく、ソフトウェア製品やネットワーク機器の内部で使われている場合があることにも注意を促しています。

誰が更新するのか：環境ごとの担当

PHPで動くサイトはすべて対象になり得ますが、PHPそのものを誰が更新するかは環境によって違います。ここを取り違えると、「事業者がやってくれると思っていた」「自分で上げたつもりが別のPHPだった」という抜けが起きます。

自社サーバー・VPS・クラウド

あなたが更新する（パッケージ更新 → 再起動）

Docker（公式イメージ）

新しいタグが出たら、あなたが作り直す

OSのパッケージ（Debian・Ubuntu・RHEL など）

配布元が修正を取り込む → あなたが適用する。版番号は公式と違う

レンタルサーバー

PHP本体は事業者が更新。あなたはバージョンの選択を確かめる

PHPを誰が更新するかは、サーバーの持ち方で決まる。WordPressやLaravelの更新とは別の作業になる。

環境	PHPを更新する人	あなたがやること
自社サーバー・VPS・クラウドのサーバー	あなた	修正版（またはOSの修正済みパッケージ）を入れ、PHP-FPM・Apacheを再起動する
Docker公式イメージ（`php:8.4-fpm` など）	イメージの配布元とあなた	修正版のタグが出たら、イメージを取り直して作り直し、コンテナを入れ替える。古いイメージのキャッシュを使わない
OSのパッケージ（Debian・Ubuntu・RHEL系など）	配布元とあなた	配布元のセキュリティ情報で修正済みパッケージを確かめて適用する。配布元は修正だけを取り込む（バックポート）ため、版番号はPHP公式の番号と一致しない
レンタルサーバー（共用サーバー）	事業者	管理画面でサイトのPHPバージョンを確かめる。8.1以前なら切り替えを計画する。事業者のお知らせを公式サイトで確かめる
製品・機器に組み込まれたPHP	製品の開発元	開発元のセキュリティ情報を確かめる（利用者からは中のPHPが見えないことがある）

WordPressやLaravelの更新ボタンでは、PHPそのものは更新されません。アプリの更新とPHPの更新は別の作業です。

PHPのバージョンを安全に確かめる

サーバーに入れる人は、コマンドで確かめる

サーバーにログインできる場合は、次のコマンドでPHPのバージョンが分かります。

php -v

ただし、これはコマンドライン（CLI）用のPHPのバージョンです。Webサイトを動かしているPHP（PHP-FPMやApacheのモジュール）は、別のバージョンが入っていることがあります。1台のサーバーに8.2と8.4が並んで入っている例も珍しくありません。Web側は、次の手順の方法やPHP-FPMのサービス名（php8.4-fpm など）で確かめます。

WordPressは「サイトヘルス」で確かめる

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の項目を見ると、サイトを実際に動かしているPHPのバージョンが表示されます。管理画面に入れる人なら、サーバーにログインしなくても確かめられます。

レンタルサーバーは管理画面で確かめる

レンタルサーバーでは、サーバーパネル（コントロールパネル）の「PHPバージョン設定」などの画面で、ドメインごとに選んでいるバージョンが分かります。ドメインごとに違うバージョンを選べる事業者が多いので、すべてのドメインを確かめてください。

phpinfo() のページを公開したままにしない

バージョンを見るために phpinfo() を書いたファイルを公開ディレクトリに置く方法がありますが、このページにはPHPの版や設定、サーバーの内部情報が並びます。攻撃する側が狙いを付ける材料になるので、確認が終わったらすぐ削除してください。上の3つの方法で足りるなら、作らないのが一番です。置き忘れの探し方は公開ディレクトリに秘密ファイルを置き忘れていないかで解説しています。

更新の前にやること

サイトとサーバーを書き出す

運営しているサイトごとに、「どのサーバーか」「PHPのバージョン（CLIとWeb）」「PHPを更新するのは誰か（自分・事業者・取引先）」「担当者の連絡先」を1枚の表にします。テスト環境や、使っていないが公開されたままのサイトも含めます。忘れられたサイトほど更新から漏れます。棚卸しの進め方はセキュリティの棚卸しチェックリストにまとめています。

バックアップを取る

更新でサイトが動かなくなったときに戻せるよう、ファイルとデータベースのバックアップを取ります。サーバーの外に保存し、戻せることを確かめておくと安心です（バックアップと復旧の基本）。

作業の時間と手順を決める

修正版が出たらすぐ更新できるよう、作業する時間（深夜になる場合も含めて）と、作業する人、関係者への連絡方法を決めます。自社サーバーなら、更新コマンド・再起動するサービス・確認方法を手順として書いておきます。取引先や制作会社にサーバーの管理を任せている場合は、今日中に「誰がいつ更新するか」を確認します。

サポートが終わったバージョンなら、移行を計画する

php.net の一覧によれば、PHP 8.1は2025年12月31日にサポートが終わっており、8.0以前も同じです。PHPの開発チームは、サポートが終わったブランチにはセキュリティ修正のリリースを出さない方針です。今回も公式の修正版は出ていません（7.4・8.0・8.1向けにはソースへの最小限の修正だけが提供された）。サポート中の8.2〜8.5への移行を計画してください。8.2のセキュリティサポートも2026年12月31日に終わるので、これから移るなら8.3以降が無難です。

非公式の「修正プラグイン」や設定の回避策に飛びつかない

修正版が出る前は、「これで防げる」とする非公式のプラグインや設定の書き換えが出回りがちです。公式の勧告にない方法は、効果を確かめられません。本物の修正はPHPの修正版（またはOSの修正済みパッケージ）だけです。WAF（Webアプリケーションファイアウォール）のルールは時間稼ぎにはなりますが、WAFを通らずにサーバーに直接届く通信には効きません。

修正版への更新

修正版は 8.5.12、8.4.27、8.3.36、8.2.35 です（2026年10月21日公開）。OSのパッケージで入れている場合は、配布元が出す更新パッケージを使います。

自分のブランチの修正版に上げる

php.net のリリース告知とChangeLogで、使っているブランチ（8.2・8.3・8.4・8.5）の修正版の番号を確かめ、その版以上に更新します。OSのパッケージを使っている場合は、配布元のセキュリティ情報（Debian・Ubuntu・Red Hatなど）で修正済みパッケージの版を確かめます。Dockerは、修正版のタグが出てからイメージを取り直して作り直します。

PHP-FPMとApacheを再起動する

パッケージを更新しただけでは、動いているPHPのプロセスは古いままです。PHP-FPM（php8.4-fpm など）、ApacheのPHPモジュールを使っている場合はApacheを再起動して、新しいPHPを読み込ませます。

CLIとWebの両方でバージョンを確かめる

php -v に加えて、WordPressのサイトヘルスやPHP-FPMのサービスの状態で、Webサイトを動かしているPHPが修正版になったことを確かめます。複数のバージョンが入っているサーバーでは、すべてのバージョンを確かめます。

サイトが正常に動くか、不審な変化がないかを見る

主要なページ、ログイン、問い合わせフォーム、決済などが動くかを確かめます。修正版が出る前に攻撃を受けていないかが気になる場合は、見知らぬファイルの追加、管理者アカウントの増加、改ざんの有無を確かめます。調べ方はサイト・サーバーが不正アクセスされていないか確かめる方法で解説しています。

レンタルサーバーを使っている人へ

レンタルサーバー（共用サーバー）では、PHPそのものは事業者がサーバーに入れて管理しています。利用者が修正版を自分で入れることはできません。

事業者がやること

サーバーに入っているPHPを修正版に更新する
必要に応じて、一時的な防御策や臨時メンテナンスを行う
対応状況を公式サイトや公式SNSで知らせる

利用者がやること

管理画面で、ドメインごとに選んでいるPHPバージョンを確かめる
8.1以前を選んでいれば、テストしてから新しいバージョンに切り替える
事業者のお知らせは、メールのリンクではなく公式サイトで確かめる
WordPress本体・プラグイン・テーマも最新にしておく

事業者の側で臨時メンテナンスが行われると、管理画面に入れない時間ができることがあります。その間にPHPバージョンの切り替えなどが必要にならないよう、確認は早めに済ませてください。

事業者の対応（2026年10月22日13時45分時点で当サイトが確認したもの）

多くの事業者が、PHPへの修正の適用を完了したと知らせています。13時45分時点で、KAGOYA・ConoHa WING・お名前.com・CPI・ロリポップ・ラッコサーバー・WADAXは完了を知らせていません。

事業者	公式のお知らせ	内容
エックスサーバー	予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ（10月22日13時15分最終更新）	10月22日6時45分、PHP 8.2〜8.5について、対象のすべてのサーバーへの修正パッチの適用を完了した。古いバージョンは、修正パッチの検証と確認が済んだものから順に適用しており、残りのバージョンも対応を続けている。9時30分にシンクラウドを除いてアカウント管理画面と各種機能の提供を再開し、13時15分にはシンクラウドも再開した（一部の機能はメンテナンス中）。各公式サイトは同日中に再開の予定で、Webメール、API・MCP、問い合わせフォームは止まったまま。管理画面の再開後に、利用者へ追加の対策をお願いする場合があるとしている。不正アクセスの発生に伴う対応ではないとしている
さくらのレンタルサーバ	PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について（10月22日）	コントロールパネルで選べるすべてのPHPバージョンに対応を完了し、利用者の緊急の対応はないとしている。あわせて、サポート期間中の最新版への移行の検討を求めている。一部のサービスで使うphpMyAdminとウェブメールは対応中。10月21日からの緊急メンテナンス（n-2697）は21日22時30分に完了
mixhost	【完了】PHPの重大な脆弱性への対応について（10月22日）	全サーバーで、10月22日10時18分ごろにPHPの修正パッケージの適用を完了した。対象はPHP 5.2〜8.5。PHPのバージョン番号は変わらない（例：8.4.26のまま）。利用者の作業は不要としている。10月21日22時10分から止めていたマイページのメンテナンスも終わった
ColorfulBox	お知らせ（10月22日）	全サーバー（共有サーバー、カラフルビジネス、タダサーバー、専用サーバー）で、事前の保護措置と修正版へのアップデートを10月22日朝までにすべて完了した。7.4・8.0・8.1も含む。利用中のPHPバージョンのまま更新しており、利用者の作業は不要としている
XREA・VALUESERVER・CORESERVER・Oneレンタルサーバー	XREA・VALUESERVER・CORESERVER V1・V2・One	5つのサービスすべてで完了。XREA・VALUESERVER・CORESERVER V1は10月22日0時50分に完了し、PHP 7.4以上（7.4〜8.5）で対応を完了したとしている。Oneレンタルサーバーは10時20分に完了（PHP 8.0以上）、CORESERVER V2は11時13分に完了（提供中の全PHPバージョン）。対象のバージョンを使う利用者は、PHPバージョンの変更などは不要としている
ヘテムル	【一部完了】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ（10月22日12時18分・13時20分追記）	12時18分、利用者のサイトの表示、サービスサイト、コントロールパネル、heteml FTP、hetemailを再開した。PHP 8系と7.4には公式の修正版を、ほかのバージョンには公式の修正内容にもとづく独自の修正を当てた。PHP 8.1以下では、この対策で一部の機能（session.upload_progress など）が無効になっており、利用者に自分のサイトの動作確認と対応を求めている。13時20分にphpMyAdminも再開した
ロリポップ	【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ（10月21日）	PHPの脆弱性への予防措置として、サービスサイト・ユーザー専用ページなどを停止した。10月22日にはサービスサイトの表示が戻ったが、完了のお知らせは確認できていない
KAGOYA	【KAGOYA】PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について（10月22日10時35分更新）	レンタルサーバーのPHP 8.2〜8.5は、修正版へのバージョンアップによる対応を「調整しております」としており、適用の完了は知らせていない。マネージド専用サーバー、共用、WordPress向けのプランは恒久的な対応を調整中で、暫定的なリスク低減策として、Webサイトの公開停止（メンテナンス画面への切り替え）やアクセス制限を検討するよう利用者に求めている。攻撃や情報漏えいなどの被害は確認されていないとしている
ConoHa WING	【重要】PHPの脆弱性への弊社対応について・ファイルマネージャーおよびWebメール機能の一時停止のお知らせ（10月22日）	10月21日からの緊急メンテナンスは今回の脆弱性への対応だとし、サーバーへのセキュリティパッチの適用を「順次進めております」としている。利用中のPHPバージョンのまま事業者が適用し、利用者がバージョンを変える必要はないとしている。予防的な措置として、ファイルマネージャーとWebメールを止めている。サイトの表示とメールの送受信は通常どおり
お名前.com レンタルサーバー	PHPの脆弱性への弊社対応について・ファイルマネージャーおよびWebメール機能の一時停止のお知らせ・サーバーメンテナンス（10月22日）	サーバーへのセキュリティパッチの適用を「順次進めております」としている。利用中のPHPバージョンのまま事業者が適用するが、PHP 5系や7系を使っている場合は、バージョンの変更が必要なケースもあるとしている。予防的な措置として、ファイルマネージャーとWebメールを止めている（メールソフトやFTPソフトは使える）。10月22日12時〜21時には、ホストの再起動を伴うサーバーメンテナンスを行い、ホストごとに数分から数十分使えない時間があるとしている
CPI	PHPの脆弱性対応によるサービスサイトおよび管理画面などの停止のお知らせ（10月21日21時45分更新）	PHPの脆弱性対応として、10月21日21時からコントロールパネル・マイページなどを順次停止。13時45分時点でも再開の見込みは未定。利用者のサーバーは停止しないとしている
ラッコサーバー	公式サイト	10月21日19時から、予防的措置としてサービスサイトを停止していた（不正アクセスは確認されていないとしていた）。サイトの表示は戻ったが、PHPについてのお知らせは確認できていない
WADAX	公式サイトの告知（10月22日に確認）	セキュリティ強化の観点から、安全を確保するまでサイト全体を一時停止。13時45分時点でも変わらず、PHPの記載はない

完了の書き方は事業者ごとに違います。どのPHPバージョンが対象か、利用者に作業が必要かを、各社のお知らせで確かめてください。ほかの事業者のお知らせは、確認できしだい追記します。

この時期は、事業者を名乗る偽のメールに注意

脆弱性や臨時メンテナンスが話題になっている時期は、レンタルサーバーやドメインの事業者を名乗る「緊急メンテナンスのため再ログインしてください」「アカウントが停止されます」といったメールが届きやすくなります。メールのリンクからログインせず、自分でブックマークした公式サイトや公式SNSで確かめてください。見分け方はフィッシングとはで解説しています。事業者そのものが攻撃されたときの備えはレンタルサーバーが不正アクセスされたときにまとめています。

公開前の報道とセキュリティ企業の情報

10月21日の公式発表で、CVE番号（CVE-2026-109618、CVE-2026-109619）と、2件が遠隔からコードを実行される（RCE）脆弱性であることは確認されました。下の表は公開前の段階で伝えられていた情報で、悪用の有無などは今も公式には確認されていません。

公開前の段階で、報道やセキュリティ企業がいくつかの情報を伝えていました。どれもPHPの開発チームの公式発表ではありません。当サイトは、これらを前提に手順を変えることはしていません。

伝えられていること	伝えている主体	状態
脆弱性の詳細が、公開予定より前に漏れた	セキュリティ企業（報道機関の取材に回答）	未確認
2件はどちらも遠隔からコードを実行される種類（RCE）の脆弱性	セキュリティ企業、欧州連合の機関向けCSIRT（CERT-EU）	10月21日の公式発表で確認
CVE番号（CVE-2026-109618、CVE-2026-109619）	セキュリティ企業、報道、CERT-EU	10月21日の公式発表で確認
PHP 5以降の広い範囲に影響する	セキュリティ企業、CERT-EU	未確認（公式のGitHub勧告は各ブランチの修正版より前を対象とし、下限は示していない。7.4・8.0・8.1向けのバックポートあり）。IPAの10月22日の注意喚起は、調査に関わったセキュリティ企業の見解として「PHP 5.4以降」と紹介している
攻撃は観測していない	セキュリティ企業（報道機関の取材に回答）	発信者の見解
攻撃の兆候を観測している	CDN事業者の経営幹部、別のセキュリティ企業（提携するホスティング事業者からの報告として）	CDN事業者が22時56分の発表で攻撃の通信の観測を公表（上の「公開後の状況」）。公的機関の確認はない

悪用の有無については、発信者によって見解が分かれています。IPAは10月21日の事前準備のお願いで、現時点で悪用した攻撃を確認しているわけではないとしていました。米CISAも、10月21日の注意喚起の時点で悪用を観測していないとしています。悪用が始まっているかどうかに関わらず、やることは同じです。修正版にすぐ更新します。

当サイトの視点：今日決めるのは「誰が、いつ更新するか」

修正版は公開されました。残る作業は「誰が、いつ更新するか」を決めて実行することです。抜けが起きやすいのは技術ではなく担当の確認です。制作会社に任せたサイト、退職した担当者が立てたVPS、テスト用に残したサーバーのように、更新する人が決まっていないPHPが最後まで古いまま残ります。深刻度の判断のしかたは脆弱性の優先順位の付け方（CVSS・EPSS・KEV）、公開後の進め方は脆弱性が公表されたときの対応手順で解説しています。

これまでの経緯

2026年9月24日
PHP 8.5.11、8.4.26、8.3.35、8.2.34 がセキュリティリリースとして公開（告知の時点での最新版）。
10月20日
PHPの開発チームが php.net で、10月21日14時（UTC）のセキュリティリリースを予告。2件の脆弱性はどちらもCVSS v4.0で9.2。同日、セキュリティ企業が報道機関に、詳細が漏れたと述べたと報じられる。
10月21日
IPAが「事前準備のお願い」を公表。エックスサーバーが16時から公式サイト・管理画面などへのアクセスを停止。
10月21日
PHPの開発チームが、修正版 8.5.12・8.4.27・8.3.36・8.2.35 とセキュリティ勧告を公開。CVE-2026-109618 と CVE-2026-109619 は、どちらも認証なしで遠隔からコードを実行されるおそれがあるとし、すぐ更新するよう求めた。
10月21日
米CISAが注意喚起を出し、すぐ更新するよう求めた。公表の時点で悪用は観測していないとした。
10月22日
エックスサーバー（8.2〜8.5）、さくら、mixhost、ColorfulBox、バリュードメインの各サービス、ヘテムルなどが修正の適用完了を知らせる。JVNがJVNVU#99905564を、IPAが注意喚起「PHPの脆弱性対策について」を、JPCERT/CCが注意喚起（JPCERT-AT-2026-0033）を公表。

出典（公開記録）

本記事の事実関係は、以下の公開情報にもとづきます。公式に公表されていない項目（悪用の有無など）は、報道やセキュリティ企業の情報として出典を示し、未確認と明記しています。

PHPの開発チーム「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日） — php.net
同 GitHub セキュリティ勧告（CVE-2026-109618） — github.com
同 GitHub セキュリティ勧告（CVE-2026-109619） — github.com
同変更履歴（8.5.12・8.4.27・8.3.36・8.2.35） — php.net
PHP「Upcoming Critical PHP Security Release」（2026年10月20日） — php.net
PHP 公式サイトのトップ（告知時点の最新版 8.5.11・8.4.26・8.3.35・8.2.34） — php.net
PHP「Supported Versions」（サポート期限） — php.net
PHP「Unsupported Branches」（8.1のサポート終了：2025年12月31日） — php.net
php-src のセキュリティアドバイザリ一覧（GitHub） — github.com
IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日） — ipa.go.jp
IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日） — ipa.go.jp
JVN「JVNVU#99905564 PHPにおける複数の任意のコードが実行可能な脆弱性（CVE-2026-109618、CVE-2026-109619）」（2026年10月22日） — jvn.jp
JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（JPCERT-AT-2026-0033、2026年10月22日） — jpcert.or.jp
米CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日） — cisa.gov
エックスサーバー株式会社「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日13時15分最終更新。公式サイトの停止中は各ページにこのお知らせが表示される） — xserver.ne.jp
CERT-EU「Security Advisory 2026-018: Critical Vulnerabilities in PHP」（未確認情報の出典） — cert.europa.eu
報道：詳細が漏れたとするセキュリティ企業の説明と、攻撃は観測していないとの見解（BleepingComputer、2026年10月20日） — bleepingcomputer.com
セキュリティ企業の注意喚起：ホスティング事業者からの攻撃の報告（2026年10月21日） — patchstack.com
CDN事業者の経営幹部の発信：攻撃の兆候とWAFルールの展開（2026年10月21日。上記の注意喚起に引用） — x.com
セキュリティ企業の速報：提携先のシステムで実際の悪用は観測していない（2026年10月21日時点） — huntress.com
セキュリティ企業の解説（CVE番号・種類・影響範囲の報道内容） — sansec.io ／ tenable.com
OSの配布元のセキュリティ情報：Debian security-tracker.debian.org ／ Ubuntu ubuntu.com ／ Red Hat access.redhat.com（RHEL 8 php:8.2：RHSA-2026:87073）
Docker公式イメージ（php） — hub.docker.com

更新履歴

2026-10-22（13時45分）：題名を速報の形に改め、IPAの注意喚起・JPCERT/CCの注意喚起（JPCERT-AT-2026-0033）・JVNVU#99905564・米CISAの注意喚起を追加。悪用の報告の状況（侵入が確定した発表はないこと）、OSのパッケージ（RHEL 8のphp:8.2の追加、RHEL 9のphp:8.4とDebianの開発版が未対応）、Docker公式イメージ、レンタルサーバー各社の完了状況（エックスサーバー・さくら・mixhost・ColorfulBox・バリュードメインの各サービス・ヘテムルなど）を更新。
2026-10-22（6時30分）：悪用の報告の状況（攻撃・探索の観測と、侵入が確定した発表がないこと）、OS各社の修正パッケージ、Docker公式イメージの切り替え、NVDの評価、「修正が不完全」との未確認の書き込み、レンタルサーバー各社の更新（エックスサーバーの適用開始、WADAXの追加など）を反映。
2026-10-21（23時30分）：CDN事業者による攻撃の通信の観測、Ubuntuの修正パッケージ（USN-8948-1）、NVDへの登録、Docker公式イメージの準備状況を追記。
2026-10-21（23時10分）：公開後の状況（公開時刻、影響を受けるバージョン、勧告で確認されている影響、悪用の発表がないこと、OSのパッケージ・Docker公式イメージ・remirepo）と、レンタルサーバー各社の21時以降の更新（CPI・mixhostの追加、エックスサーバーのよくある質問、さくらの完了）を反映。
2026-10-21（修正版の公開後）：PHPの開発チームの10月21日の発表（修正版の番号、CVE番号、脆弱性の内容、対象、8.1以前の扱い、一時的な対策）を反映し、題名と結論を書き換えました。
2026-10-21：初版。PHPの開発チームの10月20日の告知、IPAの事前準備のお願い、エックスサーバーのお知らせにもとづく。修正版の公開後に、CVE番号・影響を受けるバージョン・修正版の番号を反映する。

次に読む

サイトが攻撃されていないか：サイト・サーバーが不正アクセスされていないか確かめる方法
事業者が攻撃されたとき：レンタルサーバーが不正アクセスされたとき／ ConoHa WINGへの不正アクセス
レンタルサーバーの設定：共用サーバーで .env を守る
WordPress・Laravel：WordPressのセキュリティ対策／ Laravelのセキュリティ対策
備え：バックアップと復旧の基本／セキュリティの棚卸しチェックリスト
用語：RCE（リモートコード実行）とは／ CVSSとは

よくある質問

Q何が起きたのですか？

PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行されるおそれのある重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619、どちらもCVSS v4.0で9.2）を直したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めました。前日の10月20日に、日本時間21日23時の公開を予告していました。

Q自分のサイトは対象ですか？

開発チームは、Webのリクエストを処理するPHPはすべて対象としています。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが挙げられ、mod_phpの危険が最も高いとしています。WordPress、Laravel、EC-CUBEなどPHPで動くサイトは、PHPのバージョンを確かめ、修正版（8.5.12、8.4.27、8.3.36、8.2.35）より古ければ更新が必要です。

Qレンタルサーバーを使っています。自分で何かする必要がありますか？

レンタルサーバーでは、PHPそのものの更新は事業者が行います。各社は臨時メンテナンスなどで順次対応しています。利用者がやるのは、管理画面でサイトが使うPHPのバージョンを確かめること、8.1以前を選んでいれば新しいバージョンに切り替える計画を立てること、事業者のお知らせを公式サイトで確かめることです。事業者を名乗るメールのリンクからはログインしないでください。

Qサポートが終わったPHP 8.1以前を使っています。修正版は出ますか？

PHPの開発チームは、8.1以前には公式の更新を出していません。重大さを考えて、7.4・8.0・8.1向けにソースへの最小限の修正（バックポート）を用意しましたが、自分でビルドする人向けです。OSの配布元や長期サポートの事業者が独自に修正を出す場合があるので、配布元に確かめるか、サポート中のバージョン（8.2〜8.5）へ移行してください。8.2のサポートも2026年12月31日で終わります。

Q攻撃はもう起きていますか？

開発チームは、mod_phpでは認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしていますが、実際の悪用が起きているかは公式発表に書かれていません。米CISAは、公表の時点で悪用を観測していないとしています。セキュリティ企業やCDN事業者の間では、攻撃の兆候を見ているという発信と、見ていないという発信が分かれています。当サイトは未確認として扱います。