PHPの脆弱性2件、修正版を日本時間10月21日23時に公開予定　IPAが事前準備を呼びかけ

発表の要点

The PHP Groupは、PHPの脆弱性2件を修正するセキュリティリリースを、2026年10月21日23:00（日本時間）に公開する予定です。脆弱性の詳細が公開されたり、悪用が確認されたりした場合は、公開が前倒しになる可能性があります。
IPAの発信時点では、リリースはまだ公開されていません。影響を受けるバージョンと修正バージョンも確認できていません。
IPAは現時点でこの脆弱性を悪用した攻撃を確認していません。ただし悪用のおそれがあるため、予防的に事前準備を呼びかけています。
CERT-EUは、この2件をCVE-2026-109618とCVE-2026-109619としており、PHP 5以降が影響を受けるとしています。
PHPは、Webアプリケーションのほか、ソフトウェア製品やネットワーク機器の内部で使われている場合もあります。IPAは、製品のマニュアルや開発元の情報を確認するよう求めています。ただし、すべての製品について個別に確認することまでは求めていません。
IPAによると、サポートが終了した古いPHPを使い続けているWebサイトも見受けられます。

関係する企業は次のとおりです。

自社サイト、問い合わせフォーム、ECサイト、業務システムなど、PHPで動くものを自社または委託先で運用している企業
WordPressを使ったホームページや、自社で運営しているECサイトがある企業は、PHPの環境で動いている可能性が高いため、確認が必要です。
特に、制作会社に作ってもらったサイトをそのままにしている企業や、PHPのバージョンを把握していない企業は優先度が高くなります。CERT-EUはPHP 5以降を対象としており、古い環境も含まれる可能性があるためです。
レンタルサーバーやホスティングを使っている場合、PHPを更新するのが事業者か自社かは契約によって異なります。

関係が薄い企業は次のとおりです。

自社でWebサイトやWebシステムを持たず、クラウドサービス（SaaS）だけを使っている企業
この場合、修正はサービス提供側の責任範囲となるのが一般的で、自社の作業はほぼ不要と考えられます。
ただし、SaaSの利用規約によっては、利用者自身がデータを保全しておくことを前提としている場合があります。その場合は、アプリケーションに用意されているバックアップ機能を使ってデータを保全しておくと、より安心です。

なお、社内のネットワーク機器やソフトウェア製品の内部でPHPが使われている可能性もあります。ただしIPAも全製品の個別確認までは求めていません。開発元の情報を待つ対応で足ります。

※ 2026年10月21日時点の編集部の見解です。修正版の公開や仕様の変更で状況は変わるため、対応の前に出典やメーカーの最新情報もご確認ください。

PHPで動くWebサイトやシステムを持つ企業は、今すぐ準備を始める必要があります（優先度：高）。

現時点ではまだ修正版がないため、今やるべきことは「どこでPHPを使っているかの把握」と「修正版が出たら誰がいつ適用するかの段取り」です。
IPAは、攻撃が極めて短時間で行われる可能性に触れています。修正版の公開後に慌てないよう、公開前の今のうちに委託先との連絡体制を固めておくのが費用のかからない対策です。

まず、社内のIT兼任担当者が棚卸しを行います（目安：数時間程度）。

自社サイトや業務システムを一覧にし、それぞれについて次の4点を記録します。WordPressで作ったホームページや自社運営のECサイトは、PHPを使っている可能性が高いため、忘れずに一覧に含めます。
- PHPを使っているか
- 誰が保守しているか（制作会社、ホスティング事業者、自社）
- PHPのバージョン
- 保守契約の有無
分からない項目は空欄のままで構いません。そのまま委託先への質問項目にします。

次に、委託先・ホスティング事業者に次の点を確認します。

当社のサイトやシステムはPHPを使っているか。使っているバージョンはサポート期間内か。
修正版が公開されたら、誰が・いつまでに適用するか。保守契約の範囲内か、別途費用が発生するか。
適用前の動作確認と、不具合が出たときに元に戻す手順はあるか。
サポート終了の古いPHPを使っている場合、修正版が提供されない可能性があります。その場合の当面の対策（公開の一時停止、アクセス制限など）と、更新計画を確認します。

ネットワーク機器やソフトウェア製品については、メーカーや販売店のセキュリティ情報を確認できるよう、機器の一覧と問い合わせ先をそろえておきます。

ルールと運用の面では、次の点を押さえます。