ブログ
PHPに深刻な脆弱性2件｜自社ホームページの更新確認を
2026年10月21日、Webサイトを動かすプログラム言語「PHP」に、深刻な脆弱性2件を直す更新版が公開されました。PHPの開発元は、ログインなしで外部から任意のプログラムを実行されるおそれがあるとして、すぐの更新を呼びかけています。WordPressで作った自社ホームページや予約・問い合わせフォームの多くはPHPで動いているため、中小企業にも関係するニュースです。
この記事の要点
- 修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35。深刻度はCVSS v4.0で9.2
- Webのリクエストを処理するすべてのPHP環境が対象。8.1以前は開発元の更新なし
- 自社サイトの「PHPのバージョン」と「誰が更新するか」を今週中に確認する
結論：ホームページの管理者にPHPの更新状況を確認する
自社でサーバーを触っていなくても、ホームページがPHPで動いていれば対象になりえます。まず、サイトを置いているサーバーと、そのPHPのバージョンを確かめてください。制作会社や保守業者に任せている場合は、「今回のPHP更新は済んでいるか」を一言問い合わせるのが確実です。
背景：何が公開されたのか
IPA（情報処理推進機構）は10月21日に事前の注意喚起を出し、同日、PHPの開発元が修正版を公開しました。開発元の発表を整理すると次のとおりです。
| 使っているPHP | 更新先（修正版） | 補足 |
|---|---|---|
| 8.5系 | 8.5.12 | 2029年末までセキュリティ修正あり |
| 8.4系 | 8.4.27 | 2028年末まで |
| 8.3系 | 8.3.36 | 2027年末まで |
| 8.2系 | 8.2.35 | 2026年12月31日でサポート終了 |
| 8.1以前 | 開発元の更新なし | サーバー会社などの独自対応を確認するか、新しい版へ移行 |
開発元によると、PHP-FPMやApache（mod_php）など、Webのリクエストを処理するPHPはすべて対象で、特にmod_phpの環境は危険が大きいとしています。設定変更で一部の攻撃経路を減らす方法も示されていますが、開発元は完全な対策は更新だけと明言しています。なお、IPAの注意喚起の時点では、悪用された攻撃は確認されていません（10月22日確認時点）。
現場で確認する点
1. サイトを置いている場所を確かめる
レンタルサーバー、VPS、社内サーバーのどれかで、更新の担当が変わります。契約書や請求書の名義からサーバーの契約先を確認します。
2. PHPのバージョンを見る
レンタルサーバーの管理画面や、WordPressの「サイトヘルス」画面で確認できることが多いです。8.1以前のままなら、今回を機に新しい版への移行計画を立てます。
3. 更新の担当者を決める
一般にレンタルサーバーはサーバー会社がPHP本体を更新しますが、VPSや社内サーバーは契約者側の作業です。「誰が・いつ更新するか」を保守業者と文書で確認しておくと、次回も慌てずに済みます。
4. 社内の機器やシステムも洗い出す
IPAは、製品や機器の内部でPHPが使われていないかもマニュアルや開発元の情報で確認するよう求めています。社内で使うWebシステムがあれば、提供元のお知らせを確認します。
ひとこと：PHPを新しい版へ上げると、古いテーマやプラグインが動かなくなることがあります。更新前にバックアップを取り、表示とフォーム送信を確認する手順を決めておきましょう。
関連記事：Movable Typeに深刻な脆弱性｜自社ホームページの確認と更新を／不正アクセスの漏えいが相次ぐ｜IPAが求めるアカウント点検
GT.engineerの対応範囲
ホームページやサーバーの現状確認から更新の段取りまで、分かる範囲から一緒に整理します。
- サーバーの契約先・PHPのバージョン・管理者の確認
- 制作会社・サーバー会社への確認内容の整理
- WordPressのバックアップと、更新後の表示確認
沼津市・三島市・清水町・長泉町・伊豆など静岡県東部の事業者さまのご相談に対応します。
お問い合わせ
「ホームページを誰が管理しているか分からない」「PHPと言われてもピンとこない」といった段階でもご相談ください。
出典：PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）／IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）／PHP「Supported Versions」（いずれも2026年10月22日確認）
