PHPは、WordPressなどのWebサイトや社内の業務システムで広く使われているプログラミング言語です(一般的な説明)。PHPの開発チームは2026年9月24日、セキュリティリリースとして8.5.11・8.4.26・8.3.35・8.2.34を公開しました。
ドイツのBSI(CERT-Bund)は注意情報WID-SEC-2026-3585(深刻度「mittel」=中)を出し、10月上旬にRed Hat・Debian・openSUSE・SUSEの修正を順に加えています。自社でPHPを動かしている会社は、版とOSのパッケージを確認します。
公式の資料で確かめられたこと
| 項目 |
内容 |
出どころ |
| 公開日・性格 |
4版とも2026年9月24日。告知は4版とも「This is a security release」 |
PHP公式のお知らせ |
| 修正の数 |
GHSA番号つきの修正は、8.5.11と8.4.26が11件、8.3.35と8.2.34が12件 |
PHP公式の変更履歴 |
| 8.3.35・8.2.34 |
変更履歴の項目は、すべてGHSA番号つきの修正(各12件) |
PHP公式の変更履歴 |
| 深刻度(GitHub) |
12件のうち、High 1件、Medium 9件、Low 2件(編集部が数えた) |
GitHubのアドバイザリ |
| BSI |
深刻度「mittel」(BSIの評価)。CVEは10件、GitHubのアドバイザリの参照は11件 |
BSI(CSAF) |
| 悪用 |
確かめた資料に、悪用の報告は書かれていない |
上記すべて |
8.2.34の変更履歴の該当部分です。
PHP公式の変更履歴の8.2.34。2026年9月24日付で修正12件が並ぶ出典: The PHP Group「PHP 8 ChangeLog」(引用)
8.5.11と8.4.26には、セキュリティ以外のバグ修正も多数入っています。8.3.35と8.2.34は、上の12件だけです。
修正12件の一覧
次の表は、php/php-srcのGitHubアドバイザリ12件を全部読んで作りました。「内容」は、アドバイザリの題と説明を編集部が日本語に要約したもので、「深刻度」はGitHubの表示です。
| GHSA(末尾) |
CVE |
内容 |
深刻度 |
関係する機能 |
| rgrp-mwpx-f6rm |
2026-91765 |
SOAPサーバーが、深く入れ子になったXMLを受けると処理が止まる(CVSS 7.5) |
High |
SOAP(SoapServerを公開している場合) |
| cj93-vc83-wgqv |
2025-14181 |
SOAPクライアントの応答処理で、バッファあふれが起こりうる(CVSS 6.5) |
Medium |
SOAP(クライアント) |
| fpwc-w8rq-cr92 |
2026-91766 |
http://のストリームがリダイレクトするとき、認証ヘッダーやCookieを別のホストへ送る(5.9) |
Medium |
標準関数(file_get_contentsなど) |
| 88hq-2827-7pg6 |
2026-92842 |
convert.*フィルターで、メモリの内容が出力に混ざる(5.9)。使い方が限られる |
Medium |
標準関数(ストリームフィルター) |
| 7875-c8px-7q5f |
2026-93682 |
空のLocationヘッダーのリダイレクトで、範囲外の読み取りが起こる(5.3) |
Medium |
標準関数(HTTPストリーム) |
| xr7j-rvgx-xq5p |
2026-91767 |
TLSの証明書のワイルドカード名の検証で範囲外を読み、停止する(6.5) |
Medium |
OpenSSL |
| vvx9-73fr-5jjx |
2026-91769 |
証明書のSANが合わないのに、CNが合えば受け入れる(4.3) |
Medium |
OpenSSL |
| 62xp-839h-2637 |
2026-91768 |
listen.allowed_clientsのIPv6の照合が前半96ビットだけで、制限をすり抜けうる(6.5) |
Medium |
FPM |
| j3wh-g957-2m85 |
2026-6103 |
細工したTARで、実際にはないファイルが一覧・展開される(4.0) |
Medium |
Phar |
| 9f67-6fw4-hpfp |
2026-17545 |
Windowsで予約されたデバイス名(CONなど)を弾かず、処理が止まる |
Medium |
Windows版 |
| r6x9-5r99-36j7 |
2025-1218 |
不正なMySQLサーバーのパケットで、範囲外を読み停止する(3.1) |
Low |
mysqlnd |
| ch8v-r6jh-4vvr |
なし |
FILTER_SANITIZE_ENCODEDが0xFFを符号化しないことがある(3.7) |
Low |
Filter |
BSIが参照に挙げた11件は、このうち62xp-839h-2637を除く11件です。BSIのCVE 10件には、CVE-2026-91768(FPM)とch8v(CVE番号なし)が入っていません。GitHubのアドバイザリは全12件を読めました。
アドバイザリの記述では、多くが「特定の機能を、特定の使い方で使うとき」の話です。たとえば88hq-2827-7pg6は、攻撃者が決めた値をフィルターの設定に渡し、その値にNULを含む場合に限られ、「大半のアプリは影響を受けない」と書かれています。62xp-839h-2637は、FastCGIをIPv6のTCPで使い、listen.allowed_clientsを防御の境にしている場合です。Unixソケット、IPv4のみ、外部のファイアウォールを境にしている場合は影響しないと書かれています。
サポート期限の表
PHP公式のSupported Versionsに、2026年10月12日時点で載っている日付です。
| 系列 |
通常サポートの終了 |
セキュリティサポートの終了 |
| 8.2 |
2024年12月31日 |
2026年12月31日 |
| 8.3 |
2025年12月31日 |
2027年12月31日 |
| 8.4 |
2026年12月31日 |
2028年12月31日 |
| 8.5 |
2027年12月31日 |
2029年12月31日 |
PHP公式のSupported Versions。8.2から8.5の各サポート終了日出典: The PHP Group「Supported Versions」(引用)
PHP公式の「Unsupported Branches」の表では、8.1は2025年12月31日に終了し、最後の版は8.1.34です。8.0以前も終了済みです。今回の修正版に、8.1系はありません。
Linux各社の修正の配布
BSIの注意情報は、第1版(9月24日)から第6版(10月11日・UTC)まで、Red Hat・Debian・openSUSE・SUSEなどの修正を順に加えています。次は、編集部が各社のページを開いて確かめたものです。
| 提供元 |
アドバイザリ |
対象 |
修正後のパッケージ |
修正CVE |
| Red Hat |
RHSA-2026:70720(発行9月23日・更新9月28日) |
Red Hat Hardened Images(RHELではない) |
php-8.5.11-2.hum1 |
11件 |
| Debian |
DSA-6514-1 |
trixie(Debian 13) |
php8.4 8.4.26-1~deb13u1 |
10件 |
| Debian |
DLA-4819-1(10月5日) |
bookworm(Debian 12)のLTS |
php8.2 8.2.34-1~deb12u1 |
10件(加えてGHSA-ch8vも記載) |
| SUSE |
SUSE-SU-2026:4603-1(10月9日) |
SLES 15 SP6・同LTSS・SAP向け・openSUSE Leap 15.6 |
php8 8.2.34-150600.3.36.1 |
10件 |
| SUSE |
SUSE-SU-2026:4602-1(10月9日) |
SLES 15 SP7・SAP向け・Web and Scripting Module 15-SP7 |
php8 8.3.35-150700.3.21.1 |
10件 |
Red Hatのページが対象とするのは、Red Hat Hardened Imagesのパッケージです。ページには「Red Hat Hardened Images」と書かれており、RHELの更新ではありません。タイプ/重大度の欄に評価の値は表示されていません。
SUSEとDebianの10件は、BSIの10件と1件ずつ違います。BSIにあるCVE-2026-17545(Windows)は含まれず、BSIにないCVE-2026-91768(FPM)が含まれます。openSUSEのOPENSUSE-SU-2026:11901-1は、開いていません。
影響する会社・しない会社
WordPressのプラグインの悪用については、別の記事で扱っています。今回の12件は、PHP本体の修正で、プラグインの話とは別です。
情シスが今日やること
- PHPを動かしているサーバーを洗い出す。
php -v で版を確認し、PHP-FPMなら php-fpm -v も見ます。rpm -q php や dpkg -l 'php*' でパッケージの版も控えます(編集部の補足)
- 版の番号だけで判断しない。ディストリビューションは版の番号が上がらず、修正だけを入れることがあります。OSの更新履歴(RHSA・DSA・SUSE-SUなど)で、自社の版にCVEの修正が出ているかを確認します
- レンタルサーバーなら、管理画面で選んでいるPHPの系列を確認する。8.1以前なら、8.3以降への切り替えを予定します。事業者の対応状況は、事業者の案内で確かめます
- 8.2系を使っている場合は、2026年12月31日までに移行する計画を立てる。まず試験環境で、使っているプラグインやライブラリが動くかを確認します(編集部の補足)
- 今回の拡張を使っているかを確かめる。SOAP・OpenSSL・FPM・Pharなどを使っていなければ、該当しない件が多くなります。使っている場合も、アドバイザリの条件に当てはまるかで優先順位を付けます(編集部の補足)
書かれていないこと
次の点は、確かめた資料には書かれていません。この記事でも書きません。
- 悪用された事例や、攻撃を観測したという報告
- 8.1以前に、今回の修正が入る予定があるかどうか
- Red Hat Enterprise LinuxやUbuntuの修正の配布状況
- レンタルサーバー各社の、PHPの更新の時期と対応状況
