PHPの重大な脆弱性とは？ 2026年の2件を図解し、WordPress利用者の確認手順を整理

「PHPに重大な脆弱性」。そんな見出しを見ても、PHPが何をしているのか、自分のブログに関係するのか、すぐには分からないと思います。今回は2026年10月21日にPHP公式が公表した2件を例に、技術的な問題とサイト運営者が取る行動をつなげます。

先に結論：PHP公式はCVE-2026-109618とCVE-2026-109619を修正した版を公開し、更新を強く勧めています。まずWebサイトが実際に使うPHPの版と誰が更新を管理するかを調べ、ホスティング会社または管理者の手順で修正版を適用・確認します。WordPress本体やプラグインの更新だけでは、PHP本体の更新を確認したことにはなりません。

PHPとは？ どこで動いている？

PHPは、WordPressなどのサイトで、アクセスされたページの内容を組み立てるために使われる言語・実行環境です。画面の裏側で動くため、ブラウザだけを見ても版は分かりません。以前の記事「AIを使う人のサイバーセキュリティ入門」では、閲覧者からWebサーバー、PHPへ処理が進む全体像を紹介しました。

何が起きた？ 2件の違いを図で見る

どちらもPHP内部のメモリ管理に関わります。メモリは、処理中の情報を一時的に置く作業机のようなもの。PHP公式は、条件がそろうとログインしていない相手による遠隔コード実行につながり得るとして、2件を重大な脆弱性として公表しました。PHP公式発表

なぜこのような問題が起きたのか。PHPの内部では、例外的な中断時にも状態を安全に片付け、次のリクエストへ持ち越さない必要があります。今回はその境目が十分に守られず、不正な状態や古い参照を後の処理が扱える経路が残っていました。詳細は開発元の109618の説明と109619の説明にあります。

ただし、PHPを使っているサイトが全て同じ条件で攻撃されるという意味ではありません。PHP公式はWebリクエストを処理する構成全般に更新を勧めつつ、実証された攻撃ではmod_phpの危険性が特に高いとしています。FPMなどは成立経路や実証状況が異なります。設定だけで「影響なし」と自己判断せず、版と提供元の情報を確認します。

どの版へ更新する？

2026年10月25日時点で、PHP公式が両件の修正版として示すのは次の版です。自分の系統の数字と比較してください。

たとえば8.4.26なら同じ8.4系の8.4.27以上が目安です。PHP 8.1以前にはPHPプロジェクトから通常の修正版は出ません。Linuxディストリビューションや長期サポート事業者が修正を移植している場合があるので、表示される版番号だけで決めず提供元へ確認してください。PHP公式発表

補足：2026年10月23日、PHP公式は別の成立条件に関する追加案内を公開し、次の定期修正まで session.upload_progress.enabled=0 を推奨しました。特殊な設定とアプリの組み合わせが必要な経路です。自分でサーバー設定を変更できない場合は、この案内も含めて提供元に対応状況を聞いてください。PHP公式・追加案内

WordPress利用者が今日できる4つの確認

1. Web側のPHP版を見る。WordPress管理画面の「ツール → サイトヘルス → 情報 → サーバー」にPHPの版などが表示されます。管理画面に入れなければホスティング会社の管理画面やサポートで確認します。WordPress公式手順
2. 更新担当を確かめる。共用サーバー・マネージドホスティングなら提供元、自分で運用するサーバーなら管理者が担当することがあります。「どのPHP系統で、2件の修正が適用済みか」を確認します。
3. 更新と動作確認をセットで行う。提供元の案内に従って修正版を適用し、サイトヘルス等でWeb側の版を再確認します。表示、ログイン、フォーム、アップロードなど主要機能も確認します。互換性の確認やバックアップが必要なら、提供元の手順に従います。
4. 更新できない理由を放置しない。古いプラグインなどが障害なら、対応版と移行計画を管理者・提供元に相談します。PHP公式の一時的な設定変更は特定の攻撃経路を狭めるだけで、更新の代わりにはなりません。

提供元への問い合わせ例：「当サイトのWebリクエストで使用中のPHP版と、CVE-2026-109618／109619の修正適用状況を教えてください。PHP公式の10月23日の追加案内についても、必要な対応と予定を確認したいです。」

AIに何を頼み、何を自分で確認する？

私もAIを使って情報を整理します。ただ、AIがサイトのサーバーに接続していなければ、稼働中のPHP版や更新済みかどうかは分かりません。一般論をそのまま「うちのサイトは安全」に変換しないことが大切です。

設定ファイルや管理画面のスクリーンショットをAIに渡す前には、パスワード、トークン、接続情報、個人情報が写っていないか確認しましょう。公開資料のURLだけでも、最初の整理はできます。

これから何が変わる？

今回の件が示すのは、アプリのコードだけでなく、その下で動く実行環境の更新もサイト運営の一部だということです。AIは勧告を読む時間を短くできますが、更新の責任者、適用された版、動作結果は人と提供元が確認する必要があります。これは今回の公式資料から私が考えた運用上の教訓です。

次はApache HTTP Server側の脆弱性を取り上げ、PHPとWebサーバーで「確認する場所」がどう違うかを図解します。

※この記事は2026年10月25日時点の公開資料に基づく一般向け解説です。個別サイトの侵害有無を判定するものではありません。

出典

• PHP公式・2026年10月21日のセキュリティ勧告、10月23日の追加案内
• PHP開発元・CVE-2026-109618の説明
• PHP開発元・CVE-2026-109619の説明
• WordPress公式・サイトヘルス画面