Oct 26, 2026

PHP の重大な脆弱性（2026 年 10 月 21 日）で何が起きたか｜サイト運営者が確認すること

この記事でわかること

10 月 21 日に何が公開されたか（修正版のバージョンを含む）
影響を受ける環境と、公式が示す更新できない場合の暫定策
WordPress などで PHP のサイトを運営している人が今確認すること

結論：PHP を使うサイトは、修正版への更新を確認する

要点

PHP 公式は 2026 年 10 月 21 日、認証不要でリモートコード実行につながる重大な脆弱性 2 件の修正を公開しました
修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です
PHP をサーバーで動かしている場合は、サーバー事業者や OS の更新状況を確認してください

何が公開されたか

PHP 公式サイトの告知（2026 年 10 月 21 日）には、次の 2 件の脆弱性が書かれています。

識別子	概要（公式の説明）
CVE-2026-109618	メモリ不足の処理で PHP が内部データの初期化途中で中断され、リクエストの後処理が不正なデータを有効として扱う可能性がある
CVE-2026-109619	リクエストが持つ内部状態が、メモリ解放後も残ることがある。同じワーカーの後続リクエストが、その古い状態を使う可能性がある

事前の告知（10 月 20 日）では、CVSS v4.0 で 9.2 と評価された重大な脆弱性 2 件を含むセキュリティリリースを、10 月 21 日 14:00 UTC（日本時間 23:00）に出すと予告されていました。

影響を受ける環境

公式は、Web リクエストを処理するすべての PHP 環境が対象だと書いています。

PHP-FPM
mod_php 付きの Apache
php-cgi
FrankenPHP
LiteSpeed

告知では、mod_php のリスクが最も高いとされています。アプリケーションのコードが動く前に、認証なしのリクエストで攻撃できる実証例があると書かれています。

修正版

系統	修正版
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35
8.6	8.6.0 RC4 に修正を含む

PHP 7.4・8.0・8.1 向けには、ソースからビルドする人向けの最小限のバックポートが提供されています
**PHP 8.1 以前は、PHP プロジェクトからの更新が終了しています。**ベンダーによるバックポートの有無を確認するか、サポート対象のバージョンへ移行する必要があります
PHP 8.2 は 2026 年 12 月 31 日に EOL となり、それ以降はセキュリティ修正が提供されません
Linux ディストリビューションや LTS ベンダーは、事前にパッチを受け取っています。ベンダーの更新パッケージを確認してください

すぐに更新できない場合の暫定策（公式）

公式は、これらを「完全な対策ではなく、安全にはならない」と明記しています。更新までの間に行う措置です。

CVE-2026-109618 向け: memory_limit=-1 を設定する（アプリ側で上書きされない方法が望ましい）。RLIMIT_AS と RLIMIT_DATA は使わない
post_max_size を小さくする（アップロードが不要なら 8M、必要なら 32M）。upload_max_filesize は、それより小さくする
CVE-2026-109619 向け: session.upload_progress.enabled=0 を設定し、全ワーカーを再起動する。ini_set() や FPM の .user.ini では効きません
PHP 8.5 のみ: fatal_error_backtraces=0 を設定し、全ワーカーを再起動する

memory_limit = -1
post_max_size = 8M
upload_max_filesize = 2M
session.upload_progress.enabled = 0
fatal_error_backtraces = 0  ; PHP 8.5 のみ

10 月 23 日の追加の注意喚起

PHP 公式は 10 月 23 日に、session.upload_progress に関する別の注意喚起（CVE-2026-115560）も出しました。発生条件が限られ、可能性は低いが、リモートコード実行につながりうる問題です。詳細な告知は次回のリリースで公開すると予告されています。次の修正リリースまで、session.upload_progress.enabled=0 に設定することが推奨されています。

日本国内の動き

GIGAZINE の報道によると、日本の国家サイバー統括室は、Web サイトの運営者に対し、PHP を使っているかを確認して、修正を可能な限り早く適用する準備をするよう呼びかけました。10 月 21 日の夜には、複数のサービスが緊急メンテナンスに入りました。報道で挙げられていた例は次のとおりです。

pixiv（22 日の早朝まで）
ニコニコ（19:00 から、終了未定）
BASE（15:50 から、22 日の 7:00 まで）
BOOK☆WALKER（ストアを一時停止、22 日の早朝まで）

利用者側で行う特別な設定はなく、各サービスが公式に案内する再開を待つのが基本です。この混乱に乗じた、偽の案内メールや SMS にも注意が必要とされています。

サイト運営者が今確認すること

確認項目	内容
PHP を使っているか	WordPress、EC-CUBE などの CMS を使っているなら、PHP で動いています
PHP のバージョン	サーバーの管理画面で確認する。8.1 以前なら、サポート終了に注意
事業者の対応	レンタルサーバーなら、事業者のお知らせで、更新の適用状況を確認する
自分で管理している場合	修正版への更新、または公式の暫定策の適用
偽の案内	「更新が必要」という内容のメールや SMS のリンクは開かない

静的サイトの場合

PHP を動かさない静的サイト（Markdown や HTML から生成して配信する構成）は、サーバー側で PHP を使わないため、この脆弱性の影響は受けません。このブログも、Astro で静的に生成して、Cloudflare Pages で配信しています。サーバーの選び方は、副業ブログのサーバー比較で整理しています。

まとめ

今日からできること

自分のサイトが PHP で動いているかを確認する
レンタルサーバーなら、事業者の対応状況を確認する
自分で管理しているなら、修正版へ更新する。できなければ暫定策を適用する
偽の案内メールに注意する

内容は確認日時点のものです。バージョンや追加の告知は、PHP 公式サイトで最新を確認してください。

本記事は公式情報とニュース報道を整理したもので、私が検証したものではありません。アフィリエイトリンクは含みません。確認日: 2026-10-26 / 出典: [PHP 公式サイト](https://www.php.net/)、[GIGAZINE の報道](https://gigazine.net/news/20261021-php-php2shell-maintenance/)