PHPにおける脆弱性（CVE-2026-109618/109619）への対応について
PHPにおける脆弱性「CVE-2026-109618/109619」について、弊社の対応状況をお知らせいたします。弊社が運用を担当するサーバについて影響調査を実施し、対策が必要なシステムへのパッチ適用または回避策の実施をすべて完了しました。現時点で、本脆弱性の悪用による影響は確認されておりません。今後も関連情報を確認し、必要に応じて対応を行ってまいります。
参考情報
CVSS
CVSS 4.0：9.2（Critical、PHP開発元による評価）
概要
WordPressなどでも使われるプログラミング言語「PHP」に、2件の脆弱性が公表されました。外部からの攻撃によって、サーバ上で不正なプログラムが実行されるおそれがあります。
攻撃者がログインなどの認証を受けずに悪用できる場合があり、Webサイトの改ざんや情報の漏えい、サービスの停止につながる可能性があります。いずれもPHPがWebからのリクエストを処理する際のメモリ管理に関する問題です。
CVE-2026-109618では、メモリ不足時に初期化が済んでいないデータが使われることがあります。CVE-2026-109619では、解放済みのメモリを後続のリクエストで参照するおそれがあります。修正版として、PHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されています。PHP 8.1以前はPHP開発元によるサポートが終了しているため、OS提供元の修正状況を確認するか、サポート対象バージョンへの移行が必要です。
チェックポイント
- Webサイトで実際に使用されているPHPのバージョンを確認する。
php -vなどで確認できるバージョンと、Webサイトが使用するバージョンが異なる場合があるため注意する。 - インターネットからアクセスできるPHP環境を優先し、PHP開発元またはOS提供元が公開する修正版を適用する。OS提供元のパッケージでは、元のバージョン番号を維持したまま修正が取り込まれる場合があるため、提供元の情報も確認する。
- 更新後はWebサーバやPHPの関連プロセスを再起動し、修正版が稼働していることとWebサイトの正常動作を確認する。
- すぐに更新できない場合は、外部からのアクセス制限やWebサイトの一時的な公開停止を検討する。単にメンテナンス画面を表示するだけでなく、脆弱なPHPに外部からのリクエストが届かないようにする。
- PHP 8.1以前を利用している場合はOS提供元などの修正状況を確認し、サポート対象バージョンへの移行を検討する。あわせて、WebサーバやPHPのログに不審なリクエストや異常終了がないか確認する。
参考サイト
最新の情報は参考サイトをご確認ください。
更新履歴
2026/10/26 初版公開
脆弱性対応などセキュリティに関するご相談
弊社では、脆弱性への対応やセキュリティ対策に関するご相談を承っております。
専門のエンジニアが、貴社環境の調査から今後の継続的な保守運用まで、一括してサポートいたします。