EU機関のサイバーセキュリティ部門であるCERT-EUは2026年10月21日、PHPの重大な脆弱性2件について初版の勧告を公開しました。PHP 5以降の全バージョンが影響を受ける可能性があり、利用アプリケーションの洗い出しと、修正版の公開後すぐに更新できる準備を求めています。PHPチームは2026年10月21日に修正版を公開する予定ですが、勧告の公表時点では技術的な詳細は未公開です。
認証なしのコード実行につながる可能性
対象は、脆弱性の識別番号であるCVE-2026-109618とCVE-2026-109619です。CERT-EUによると、いずれも認証なしでリモートコード実行につながる可能性があります。これは、攻撃者が外部から対象のシステム上でコードを動かせる恐れがあるということです。
深刻度を示す共通の指標「CVSS」のスコアは、両方とも9.2です。ただし、技術的な詳細は公表されていません。どの機能や設定が攻撃の成立条件になるかを、今回の資料だけで判断することはできません。
そのため、特定の設定を使っていないという理由だけで、対応不要と決めないことが重要です。まずPHPを使っているアプリケーションを把握し、更新の担当者と作業方法を確認する段階です。
修正版は公開予定、適用準備を先に進める
PHP foundationは2026年10月20日、2件を修正するセキュリティリリースを予告しました。PHPチームによる修正版の公開予定日は2026年10月21日です。本稿の根拠となる勧告は公開予定を示したもので、公開済みであることや修正版の番号は確認できません。
日本での提供は発表には書かれていません。日本向けの別の提供日や提供条件も、今回の資料では確認できません。
CERT-EUは、修正版の提供後すぐにパッチを適用できるよう準備することを勧告しています。即時修正が難しい場合は、修正まで公開アプリケーションを公衆網から隔離する検討も求めています。更新作業だけでなく、公開を一時的に止める場合の業務への影響も、担当部門と確認しておく必要があります。
影響する会社・しない会社
- 影響する: PHP 5以降を使うアプリケーションを運用している会社です。全バージョンが影響を受ける可能性があるため、利用中の版を含めた確認が必要です。
- 影響する: PHPを使う公開アプリケーションがあり、修正版をすぐに適用できない会社です。CERT-EUが示す公衆網からの隔離を、業務部門や運用担当者と検討する対象になります。
- 影響しない: 組織内でPHPベースのアプリケーションを使っていないことを確認できた会社は、今回のPHP更新作業の対象にはなりません。PHPを利用していても影響を受けない版や設定の条件は、発表には書かれていません。
