Webサイト・導線・アクセス解析

PHPの重大な脆弱性にどう対応する？修正版の確認から公開範囲の点検まで

公開日 ・更新日

PHPで2026年10月21日に、未認証のリモートコード実行につながる重大な脆弱性が2件公表されました。この記事では、CVE-2026-109618とCVE-2026-109619の発表を受けて、まず何を確認し、どの順番で修正版へ更新するかを整理します。PHPを使っているか分からないサイトでも、サーバーの実行環境を確認するところから始められます。

今回の告知で対象になったのは、Webリクエストを処理するPHPの構成です。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが挙げられています。PHP公式は、8.5.12、8.4.27、8.3.36、8.2.35で修正したと案内し、完全な緩和策はなく更新が安全な対応だとしています。mod_phpでは、アプリケーションの処理より前に未認証リクエストが攻撃を引き起こす実証も示されています。

最初に実行方式とバージョンを特定する

管理画面やホスティング会社の情報だけでなく、実際に公開リクエストを受けているPHPの実行方式を確認します。PHP-FPMなのか、Apacheのmod_phpなのか、別のランタイムなのかで、更新箇所と再起動の方法が変わります。複数のサイトやサブドメインがある場合は、ドメイン、サーバー、PHPバージョン、実行方式、担当者を一枚の表にまとめます。

修正版へ更新する前に、バックアップの復元手順を確認する

修正版の適用は急ぐべきですが、勢いで本番だけを変更すると、互換性の問題が起きたときに戻せません。ファイルとデータベースのバックアップがいつ取得され、どこへ保存され、別の環境で復元できるかを確認します。更新前後にトップページだけでなく、ログイン、フォーム、予約、決済など重要な処理をテストします。

更新後は攻撃の有無と残存環境を見る

PHPを更新して終わりにせず、Webサーバー、PHP-FPM、WAF、監視サービスのログを更新前後で確認します。身に覚えのない管理者、書き換えられたファイル、外部への不審な通信がないかを点検し、異常があればバックアップから戻す前に証跡を保存します。古い検証用サーバーや停止したつもりのサブドメインも、Webから到達できるなら同じ対象です。

PHPの脆弱性は、特定のCMSだけの問題ではありません。まず公開範囲と実行方式を把握し、修正版へ更新できる状態と、問題が起きたときに戻せる状態を同時に作る。今回のような告知を、運用を見直すきっかけにしてください。サーバー構成と更新手順を一緒に整理したい方は、COZITOへご相談ください。

著者: 松井 勇樹