PHP の緊急セキュリティリリース (2026 年 10 月 21 日) と当社の対応

2026 年 10 月 21 日 23:00 (日本時間)、PHP の開発チームが 2 件の脆弱性 (CVE-2026-109618、CVE-2026-109619) の修正版を公開しました。どちらも深刻度は Critical (CVSS v4.0 で 9.2) で、ログインしていない第三者にサーバー上でプログラムを実行される恐れがあります。当社とバンコク法人で保守を担当している PHP のシステムについて、対応の経過をご報告します。

対応の経過

10 月 20 日、PHP の開発チームから、翌日 23:00 (日本時間) にリリースするとの予告がありました。当社ではこの予告を受けて、リリースを待たずに動くことにしました。

21 日は 23:00 より前に、修正版がなくても取れる設定面の緩和策を適用しました。修正版の公開後は、各システムで PHP の更新を順次進めています。

共用のレンタルサーバーなど、当社で PHP を更新できない環境では、サーバー事業者が修正を適用するまでの間、お客様と相談のうえで、サイトを一時的に停止するなどの措置を取りました。

サイトを運営されている方へ

PHP で動いているサイトをお持ちの場合は、次の点をご確認ください。

• レンタルサーバーの管理画面やサーバーの設定で、PHP のバージョンを確認してください。修正済みのバージョンは 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。
• レンタルサーバーをお使いの場合は、サーバー事業者から修正の適用時期についてのお知らせが出ていないかを確認してください。
• PHP 8.1 以前をお使いの場合は、通常の更新対象から外れているため、サポート中のバージョンへの移行をご検討ください。

WordPress などで作られたサイトも、CMS 本体ではなく PHP 自体の更新が必要です。

タイ国内のシステムについては、バンコク法人 FJT SOLUTIONS (THAILAND) でも同じ対応を行い、タイ語・英語を含めて報告を掲載しています。FJT SOLUTIONS (THAILAND) の報告を見る

ご自身のサイトが対象になるか分からない場合は、お問い合わせからご相談ください。