【重要】PHPの脆弱性に関する当法人ウェブサイトの対応について

2026年10月21日（日本時間）、PHPの開発チームが、PHPに2件の重大な脆弱性（セキュリティ上の弱点）があることを公表しました。当法人のウェブサイトもPHPで動いているため、内容を確認し、対策を行いました。脆弱性の概要と当法人の対応をお知らせします。

PHPとは

PHPは、ウェブサイトの画面をその都度作って表示するためのプログラム言語です。当法人のウェブサイトで使っているWordPressをはじめ、世界中の多くのウェブサイトで使われています。ウェブサイトにアクセスがあるたびにサーバーの上でPHPが動き、送られてきたデータ（フォームに入力された内容など）を受け取って処理します。

公表された脆弱性の内容

今回の2件は、いずれも悪用されると、ログインしていない第三者が、外部からサーバーの上で任意のプログラムを動かせる（リモートコード実行）おそれがある、深刻なものです。PHPの開発チームは、ウェブサイトの表示に使われているすべてのPHPが対象になるとしています。

メモリ不足の処理を悪用されるもの（CVE-2026-109618）

PHPは、アクセスごとに、送られてきたデータを受け取る準備をしてから処理を始めます。この準備の途中でメモリが足りなくなると、処理が止まります。このとき、準備が途中のままのデータを、後片付けの処理が正しいデータとして扱ってしまうことがあります。この誤りを突かれると、不正なプログラムを動かされるおそれがあります。

前のアクセスの情報が残ることを悪用されるもの（CVE-2026-109619）

PHPは、アクセスを処理するたびに内部の情報を作り、終わると片付けます。ところが、片付けたはずの情報が残ってしまうことがあります。同じ仕組みで次のアクセスを処理するとき、新しく準備し直す前にその古い情報を使ってしまうと、それを突かれて不正なプログラムを動かされるおそれがあります。

修正版と、すぐに更新できない場合の対策

PHPの開発チームは、脆弱性を修正した版（8.5.12、8.4.27、8.3.36、8.2.35）を公開し、すぐに更新するよう呼びかけています。8.1以前の版は、通常の更新の対象外です。

すぐに更新できない場合のために、被害を受けにくくする設定も示されています。たとえば、送られるデータの量に上限を設けることや、ファイルのアップロードの進み具合を記録する機能を止めることです。ただし、これらは攻撃の経路を減らすためのもので、完全な対策は修正版への更新です。

当法人の対応

・当法人が利用しているサーバー事業者が、2件目の脆弱性で確認されている攻撃の経路をふさぐ設定を、10月21日にサーバーのPHPに適用しました。
・当法人でも10月21日に、1件目の脆弱性への対策として、PHPの設定を変更し、外部から送られるデータの量に上限を設けました。
・脆弱性を修正したPHPは、サーバー事業者が順次適用する予定です。適用を確認しましたら、このページでお知らせします。

現時点で、当法人のウェブサイトに改ざんなどの被害は確認されていません。

お客様へ

ウェブサイトの閲覧、お問い合わせフォーム、公式LINE、メールでのご相談は、これまでどおりご利用いただけます。お客様にお願いする操作はありません。

今後も、お預かりする情報を守るため、安全対策に努めてまいります。ご不明な点がございましたら、お問い合わせフォームまたは公式LINEからご連絡ください。

▼参考（PHP公式サイトの発表・英語）
Security advisory: Critical remote code execution vulnerabilities, update now