Webサイトを支える「PHP」に重大な脆弱性、10月21日に緊急の修正版　公開前から攻撃の観測も

何が起きたのか

PHPに、外部から認証なしでプログラムを実行される恐れのある脆弱性が2件見つかり、修正版が出ました。 PHPは、企業サイトやECサイト、業務システムのWeb画面などで広く使われているプログラム言語です。PHPの開発チームは10月21日、修正版の8.5.12、8.4.27、8.3.36、8.2.35を公開しました。2件の脆弱性（CVE-2026-109618とCVE-2026-109619）は、いずれも深刻度の指標で10点満点中9.2と評価されています（PHP（外部サイトが新しいタブで開きます））。

開発チームは、Webのリクエストを処理するすべての形態が影響を受け、とくにApacheと組み合わせる「mod_php」という構成で危険が大きいとしています。根本的な対策は更新だけで、設定変更による回避策は「安全にするものではない」と明記しています。

なぜ急ぐ必要があるのか

修正版が出る前から攻撃が始まっていたと報じられています。 BleepingComputerによると、Cloudflareは2件を狙う初期の攻撃を観測しており、同社の防御ルールは一時的なもので、更新を急ぐよう呼びかけました。英国の国家サイバーセキュリティセンター（NCSC）も、直ちに更新するか、該当システムをネットワークから外すよう求めたと伝えています（BleepingComputer（外部サイトが新しいタブで開きます））。

もう1つの理由は、古い版には修正が出ないことです。PHP 8.1以前は開発チームの更新対象外で、AWSの告知では、5.4〜8.1の版について修正の予定はないとしています。8.2も2026年12月31日にサポートが終わります（PHP（外部サイトが新しいタブで開きます）、AWS（外部サイトが新しいタブで開きます））。

クラウド事業者の対応

AWSは10月21日に告知を出し、自社のサービスごとの影響と対応を示しました。たとえばWebアプリの実行環境の一部では更新版が自動で適用される一方、仮想サーバーの一部の形態では、利用者が新しい環境を作って移行する必要があるとしています（AWS（外部サイトが新しいタブで開きます））。クラウドを使っていても、更新が自動とは限りません。

企業にとっての意味

編集部は、今回のような「広く使われる部品」の脆弱性では、自社が使っていると気づいていないことが最大のリスクだと考えます。数年前に制作会社が作ったキャンペーンサイトや、更新が止まった古いシステムほど、サポート切れの版で動いている可能性があります。