PHP の脆弱性 — 自社のホームページで何をするか
3 分で読む
予防的な停止とはでは、PHP の脆弱性で業務システムがどう止まったかを見ました。自社のホームページも、同じ PHP で動いていることがあります。
2026 年 10 月 21 日、PHP の開発元は、認証なしで遠隔からコードを実行される重大な脆弱性 2 件を直した修正版（8.2.35・8.3.36・8.4.27・8.5.12）を公開しました。 出典を開く確認 2026-10-25 出典を開く確認 2026-10-25PHP 公式のセキュリティの告知（2026-10-21）原文
PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution.
PHP 公式のセキュリティの告知（2026-10-21）原文
Who is at risk: all PHP installations serving web requests
誰が PHP を直すのか
| ホームページの置き場所 | PHP を直す人 | 利用者がすること |
|---|---|---|
| 共用レンタルサーバー | 事業者 | 告知を読む・サイトが動くか確かめる・PHP をサポート中の版に切り替える |
| VPS やクラウドの、自分で管理するサーバー | 利用者 | PHP を修正版に更新する |
| 自社で作ったシステム（古い PHP で動く） | 利用者（作った会社と相談する） | 更新・移行・停止のどれにするかを決める |
自分で OS やソフトウェアを管理するサーバーでは、利用者が PHP を更新します。さくらインターネットも、そうしたサービスの利用者に、PHP の状況を確かめて修正版へ更新するよう勧めました。 出典を開く確認 2026-10-25さくらインターネットの告知（10-23 追記）原文
お客さまご自身でOSやソフトウェアを管理いただくサービスをご利用の場合は、ご利用環境におけるPHPの状況をご確認の上、修正版へのアップデートなど必要な対応を速やかに実施いただくことを推奨します。
WordPress 本体を最新にしても、PHP の脆弱性は直りません。PHP は WordPress の下で動く実行環境で、直すのは PHP の側だからです。ロリポップも、WordPress 本体だけでなく、PHP の版・プラグイン・テーマを確かめるよう頼んでいます。 出典を開く確認 2026-10-25ロリポップの経緯の報告原文
WordPress 本体だけでなく、PHPのバージョン、プラグイン、テーマについても、最新の状態になっているか、開発・更新が続いているか（長期間更新されていないものがないか）をご確認ください。
共用レンタルサーバーの利用者に、何が残ったか
| 事業者 | サイトの表示 | PHP の修正 | 利用者に頼んだこと |
|---|---|---|---|
| エックスサーバー | 止めなかった（管理画面などは 10/21 16:00 から止めた） | PHP 5.6〜8.5 に修正を当てた | 急いで PHP の版を変える必要は無い |
| ロリポップ | 一部のサーバーで止めた（10/22 3:09 頃〜13 時頃） ロリポップの経緯の報告原文2026年10月22日(木) 03時09分頃：修正の適用が完了するまでの間、お客様のサイトを守るため、一部サーバーでお客様のサイトの表示を停止出典を開く確認 2026-10-25 |
すべての版に修正を当て、session.upload_progress を無効にした | サイトの動作の確認と、PHP 8.2 以降への切り替え |
| さくらインターネット | 会員関連の機能などを 10/21 22:30 から止めた さくらインターネットの告知（10-23 追記）原文セキュリティリリースの公開に先立つ2026年10月21日22時30分より、会員関連機能および当社が提供する一部サービス・機能について、予防的な緊急メンテナンスを実施しました。出典を開く確認 2026-10-25 |
サポートの終わった版にも修正を当てた | 最新のサポート対象の版を使う |
3 社とも、サポートの終わった古い PHP にまで修正を当てました。それでも利用者には作業が残ります。ロリポップは機能を 1 つ無効にしたので、サイトがそのまま動くかを確かめます。サポートの終わった版には次の脆弱性で修正が出ないことがあるので、サポート中の版に切り替えます。PHP 8.2 のセキュリティのサポートは 2026 年 12 月 31 日までなので、いま 8.2 に切り替えても、年末には次の切り替えが要ります。
古い PHP（8.1 以前）で動くシステムはどうするか
| PHP の版 | 2026 年 10 月の脆弱性への修正 |
|---|---|
| 8.2・8.3・8.4・8.5 | 開発元の修正版がある PHP 公式のセキュリティの告知（2026-10-21）原文PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution.出典を開く確認 2026-10-25 |
| 7.4・8.0・8.1 | 開発元のセキュリティチームが、自分で組み立てる人向けに最小の修正を出した PHP 公式のセキュリティの告知（2026-10-21）原文the PHP security team provided minimal source-backports for PHP 7.4出典を開く確認 2026-10-25 |
| 7.3 以前 | 開発元の修正は無い（ロリポップは公式の修正をもとに自社で修正を作った） |
PHP 8.1 以前は、開発元のサポートが終わっています。IPA は、修正を当てるのが難しい場合に、サポートの状況の確認・暫定の対策・難しさの把握・組織としての検討・方針の決定・影響を考えた実施の 6 つを進めるよう求めました（調査の詳細を参照）。暫定の対策が難しいときは、外からのアクセスを遮るか、サービスを一時止めるかを判断し、 出典を開く確認 2026-10-25 出典を開く確認 2026-10-25IPA の注意喚起（2026-10-22）原文
有効な暫定対策を講じることが難しい場合は、攻撃を受けた際の被害や業務への影響を踏まえ、外部からのアクセス遮断やサービスの一時停止が必要か判断してください。
IPA の注意喚起（2026-10-22）原文
体制を確保する見通しが立たない場合は、現行システムの継続を前提とせず、保守を受けられる製品・サービスへの移行、提供機能の縮小、公開の終了やシステムの廃止も含めて検討してください。
ここから先は調査の詳細です（約 2 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
IT連携マップ編集部は、2026 年 10 月 25 日に、PHP の開発元の告知とサポート期間の一覧、IPA の注意喚起、レンタルサーバー 3 社（エックスサーバー・ロリポップ・さくらインターネット）の告知を読み、本文の版・日付・各社の対応を確かめました。
IPA が挙げた 6 つの手順
| 順 | IPA が挙げたこと |
|---|---|
| 1 | 利用中の PHP のサポート状況を確かめる |
| 2 | 更新か移行までの暫定の対策を講じる |
| 3 | システムの状況と、更新か移行の難しさを把握する |
| 4 | 組織として、対応できるかを検討する |
| 5 | 今後の対応の方針を決める |
| 6 | 利用者や業務への影響を考えて実施する |
IPA は、長く更新していないシステムでは、アプリケーションの改修や動作の確認が要るうえに、資料や担当者や保守の契約が無くなっていて、対策が難しくなっている場合があると書いています。 出典を開く確認 2026-10-25IPA の注意喚起（2026-10-22）原文
PHPなどを長期間更新していないシステムでは、更新に伴うアプリケーションの改修や動作確認が必要となるほか、開発時の資料・ノウハウの不足、担当者の不在、保守契約の終了などにより、対策が難しくなっている場合があります。
PHP の開発元が挙げた緩和策
開発元は、完全な解決は更新だけで、緩和策は特定の攻撃の経路を減らすだけだと書いています。 出典を開く確認 2026-10-25PHP 公式のセキュリティの告知（2026-10-21）原文
while only an update is a complete solution, the following measures reduce exposure to specific attack paths but do not make an installation safe.
| 脆弱性 | 開発元が挙げた緩和策の例 |
|---|---|
| CVE-2026-109618（メモリ不足の処理） | memory_limit=-1 にする。post_max_size を小さくする |
| CVE-2026-109619（解放した後の状態の再利用） | session.upload_progress.enabled=0 にして、すべてのワーカーを再起動する PHP 公式のセキュリティの告知（2026-10-21）原文Set session.upload_progress.enabled=0 and restart every worker.出典を開く確認 2026-10-25 |
開発元は、Apache の mod_php で動かしている場合の危険が最も高いと見ています。8.1 以前の版は、開発元の更新の対象から外れています。 出典を開く確認 2026-10-25PHP 公式のセキュリティの告知（2026-10-21）原文
PHP 8.1 and older no longer receive updates from the PHP project.
PHP のサポートが終わった日
| 版 | セキュリティのサポートが終わった日 |
|---|---|
| 8.1 | 2025 年 12 月 31 日 |
| 8.0 | 2023 年 11 月 26 日 |
| 7.4 | 2022 年 11 月 28 日 |
| 5.6 | 2018 年 12 月 31 日 |
| 8.2（サポート中） | 2026 年 12 月 31 日まで |
レンタルサーバー 3 社の告知の詳しい内容
- ロリポップは、7.4・8.0・8.1 には開発元が出した修正を当て、5.3〜7.3 には自社で作った修正を当てました。
- ロリポップは、脆弱性を狙ったとみられるアクセスの試みは確かめたものの、不正アクセスや情報漏えいは確認していないと書いています。
- W3Techs の調べでは、WordPress は全ウェブサイトの 39.6% で使われています（2026 年 10 月 25 日に読んだ値）。