CyberPulse セキュリティ注意喚起｜PHP のバージョンと最新のセキュリティ更新をご確認ください

最近の PHP のセキュリティ更新は、Web サイト管理者の皆さまにご注意いただきたい内容です。Web サイトやサーバーで PHP をご利用の場合は、実際に稼働しているバージョンをすぐに確認し、PHP 公式および OS ディストリビューションのセキュリティアドバイザリに従って適切な修正を適用することをお勧めします。

【特にご注意ください】Web サイトが PHP のバージョンを公開していないからといって、PHP に脆弱性がないとは限りません。外部スキャンでバージョンを識別できない場合も、それだけでシステムが安全である、または修正済みであると判断することはできません。

システム管理者がサーバー内部から PHP のバージョン、パッケージの修正状況、実際に使用している実行環境を確認することをお勧めします。

【PHP 公式の公表情報（2026 年 10 月 21 日）】 ・PHP 公式は 2026 年 10 月 21 日、重大（Critical）な脆弱性 2 件（CVE-2026-109618、CVE-2026-109619）を修正しました。公式によると、これらの脆弱性により認証されていない攻撃者がリモートでコードを実行できる可能性があります。 ・公式の修正バージョン：PHP 8.5.12、8.4.27、8.3.36、8.2.35。これより前の 8.2～8.5 の各ブランチが影響を受けます。 ・PHP 8.1 以前のバージョンは、PHP 公式による更新の提供が終了しています。一部の OS ディストリビューションや長期サポートベンダーがバックポートによる修正を提供している場合がありますので、ご利用の提供元にご確認いただくか、サポート対象のバージョンへアップグレードしてください。 ・今回の脆弱性の深刻さを踏まえ、PHP セキュリティチームは PHP 7.4、8.0、8.1 向けに最小限のソースコード修正（php-src の GitHub ブランチとして公開）も提供しています。これらのバージョンをお使いの場合は参考にできますが、長期的にはサポート対象のバージョンへのアップグレードが必要です。 ・PHP 8.2 は 2026 年 12 月 31 日にサポートが終了します。8.2 をお使いの場合は、あわせてアップグレードをご計画ください。 ・OS のパッケージでインストールした PHP は、バージョン番号が公式と異なる場合があります。修正済みかどうかはディストリビューションのセキュリティアドバイザリでご判断ください。 ・公式によると、一時的な設定変更はリスクの一部を軽減するにすぎず、更新が唯一の完全な解決策です。

公式アドバイザリ： https://www.php.net/archive/2026.php#2026-10-21-5 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

CyberPulse は、外部からの脆弱性検査の評価可能性と修正検証の仕組みを引き続き改善してまいります。