PHP本体に緊急の脆弱性、ログインなしでサーバーを乗っ取られるおそれ（CVE-2026-109618 / CVE-2026-109619）
ひとことで言うと：多くのウェブサイトの土台になっているプログラム言語「PHP」は、建物を動かす電気配線や配管のような存在です。この配線・配管そのものに、ログインなしでサーバー上の任意の命令を実行されるおそれがある緊急の不具合が2件（CVE-2026-109618、CVE-2026-109619）見つかりました。WordPressや特定のプラグインという「各部屋の内装」の不具合ではなく、建物全体に関わる配線・配管そのものの問題です。2026年10月21日に修正版が公開されています。
何が起きたか
これまでこのニュースで取り上げてきた不具合は、WordPressやEC-CUBEといった「ソフト」や、その上で動く「プラグイン」のものでした。これらは建物の中の「各部屋の内装や家電」にあたります。今回は、それらの多くが動く土台である「PHP」というプログラム言語そのものに、2つの深刻な不具合が見つかりました。たとえるなら、部屋の内装ではなく、建物全体を支える電気配線・配管そのものに欠陥が見つかったようなものです。
PHPの開発チームは、2026年10月21日に緊急の修正版を公開し、2つの脆弱性を公表しました。
- CVE-2026-109618：PHPがメモリ不足（処理に使える記憶領域が足りなくなる状態）になったときの異常終了処理に不備があり、正しく初期化されていない記憶領域の内容が、後の処理で読み取られたり実行されたりしてしまう場合がある不具合です。
- CVE-2026-109619：1つのリクエスト（アクセス）の処理中に使われた記憶領域への参照が、本来のリクエスト処理が終わった後も残ってしまい、次のリクエストの処理でその「残ってしまった」領域が読み取られたり実行されたりしてしまう場合がある不具合です。
いずれも深刻さを表す点数（CVSS v4.0）は 9.2 で、10点満点に近い「緊急」レベルです。この不具合を発見したセキュリティ企業Wizの報告によると、「ごく単純な『Hello World』程度のプログラムでも、対象のPHPバージョンで動いていれば影響を受け得る」とされており、サイトの作り方やCMSの種類に関わらず、サーバーで使われているPHP本体のバージョンが問題になる点が特徴です。電気配線に欠陥があれば、豪華な内装の部屋も、照明だけのシンプルな部屋も同じように影響を受けるのと同じで、部屋（ソフトやプラグイン）の作りがどれだけ単純でも配線（PHP本体）の欠陥からは逃れられません。発見・報告には、Wiz社の研究者チームに加えて、研究者Ryan氏（Calif.io）、そしてOpenAI社も協力したとされています。
セキュリティ機関Sophosやカナダ政府のサイバーセキュリティセンターの報告によると、2026年10月21日の公表時点では実際の悪用は確認されていません。ただし、攻撃を試みるための概念実証コード（PoC）が既に公開されており、状況は急速に変わる可能性があると注意が呼びかけられています。
誰に関係するか
次の条件に当てはまるサイトが対象です。
- サーバーで動いているPHPのバージョンが、8.2系は8.2.35より前、8.3系は8.3.36より前、8.4系は8.4.27より前、8.5系は8.5.12より前である
使っているCMSやプラグインの種類は関係ありません。WordPress・EC-CUBE・Movable Type・baserCMSなど、PHPで動くサイトはすべて対象になり得ます。建物のどの部屋を使っているかに関わらず、配線そのものが対象になるのと同じ理屈です。また、教材・他記事で取り上げた「PHP 8.1のサポート終了」（関連記事）のとおり、PHP 8.1以前は既に開発元のサポートが終了しているため、この不具合についても個別の修正が提供されない可能性があります。古いPHPのまま運用している場合は、修正版への更新だけでなく、サポートされているバージョンへの移行自体を検討する必要があります。
何をすべきか
1. サーバーのPHPバージョンを確認する
これはWordPressなどの管理画面からは確認しづらく、サーバー自体の設定にかかわる内容です。レンタルサーバー会社や制作会社・保守会社に、サーバーで使われているPHPのバージョンを確認してもらいましょう。分からない場合は、HEIMVAIL の無料チェックで作れる依頼文を使って依頼してください。
2. 対象なら更新してもらう
バージョンが対象であれば、8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降への更新を依頼します。多くのレンタルサーバー会社では、利用者側での対応が不要な場合もありますが、念のため案内が出ていないか確認しましょう。PHP 8.1以前を使っている場合は、サポートされているバージョンへの移行についても相談してください。
3. WordPressなどの「更新」だけでは不十分な点に注意する
WordPress本体やプラグインの更新、教材「プラグイン・テーマの管理」で解説した対応だけでは、この不具合は解決しません。部屋の中をいくら掃除・改装しても、建物の配線そのものの欠陥は直らないのと同じで、PHP本体という、サイトの土台部分の更新が別途必要です。
よくある質問
WordPressやEC-CUBEなど、特定のソフトを使っていないと関係ない不具合ですか？
いいえ。これはWordPressや特定のプラグインの不具合ではなく、それらが動く土台であるPHPというプログラム言語そのものの不具合です。報告した研究者は「ごく単純な『Hello World』程度のプログラムでも、対象のPHPバージョンで動いていれば影響を受け得る」としています。サイトの作りに関わらず、サーバーで使われているPHP本体のバージョンが問題になります。
自分で何か調べられますか？
PHPのバージョンは、サーバーやレンタルサーバーの管理画面から確認できることが多いですが、専門知識が必要な場合もあります。制作会社・保守会社・レンタルサーバー会社に、PHPのバージョンが最新の修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降）になっているかを確認してもらうのが確実です。
実際に悪用された事例はありますか？
公表した研究者や複数のセキュリティ機関によると、公表の時点では実際の悪用は確認されていません。ただし、攻撃を試みるための概念実証コード（PoC）が公開されており、状況は急速に変わる可能性があると注意されています。
参考にした公開情報
- MITRE CVE Program：CVE-2026-109618 公式記録
- MITRE CVE Program：CVE-2026-109619 公式記録
- Fastly：技術解説ブログ（英語）
- Wiz：発見者による解説ブログ（英語）
- Sophos：概念実証コード公開に関する報告（英語）
- カナダ サイバーセキュリティセンター：注意喚起（英語）
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。悪用の状況は変化する可能性があるため、最新の情報は各情報源を直接ご確認ください。