【2026年10月】PHPに重大な脆弱性｜企業サイトが今すぐ確認すべき3つのこと

2026年10月21日、Webサイトを動かす仕組みの一つである「PHP」に、重大なセキュリティ上の問題が2件発見され、緊急アップデートが公開されました。

今回の問題は、企業のホームページにも関係する可能性があります。

とはいえ、

「そもそもPHPって何？」 「自社のホームページにも使われているの？」 「脆弱性が見つかったと言われても、何が危険なの？」

そう思った方も多いのではないでしょうか。

今回の脆弱性は、悪用されると、外部の第三者がサーバー上で不正なプログラムを実行できる可能性があるというものです。

ただし、PHPを使用しているすべてのホームページが、直ちに危険な状態にあるわけではありません。

大切なのは、今回何が起きたのかを理解し、自社サイトに必要な対応を確認すること。

まずは、PHPとは何なのか、身近なものに例えて説明します。

PHPとは？~ホームページの裏側で働くスタッフのような存在~

まずホームページを一つのお店に例えてみましょう。

私たちが普段見ているホームページのデザインや文章、写真などは、お店でいう「外観」や「売り場」にあたります。

一方、PHPは、お店の裏側で働くスタッフのような存在。

例えば、お客様がお問い合わせフォームに名前やメールアドレスを入力し、送信ボタンを押したとします。

すると、ホームページの裏側では、入力された情報を受け取り、内容を確認して、必要な処理を行います。

お店で例えるなら、お客様から注文を受けたスタッフが、その内容を確認し、厨房や担当者に伝えるようなイメージです。

こうした裏側の処理を担うプログラミング言語の一つがPHP。

つまり、PHPは普段私たちの目には見えませんが、ホームページのさまざまな機能を動かしている重要な仕組みなのです。

そして、世界中で利用されているホームページ制作・管理システム「WordPress」も、PHPを使って動いています。

今回のPHPの脆弱性は、何が問題なのか？

今回発見されたのは、PHPが作業中に使う「メモリ」の管理に関する2つの脆弱性です。

メモリとは、コンピューターが作業を行う際に、一時的に情報を置いておく場所のことです。

お店で例えるなら、スタッフが注文を処理するために使う「作業台」のようなものです。

スタッフは作業台に注文票や必要な書類を広げ、注文を処理します。

そして、一つの仕事が終わったら書類を片付け、次のお客様の注文を処理します。

PHPもこれと似たような仕組みで、必要な情報をメモリに置きながら処理を行っています。

今回発見された2つの脆弱性は、この作業台の使い方や片付け方に問題があったというものです。

それぞれ、もう少し詳しく見ていきましょう。

① メモリ不足が起きたときに、誤った処理をしてしまう脆弱性

CVE-2026-109618

一つ目は、PHPが作業中にメモリ不足になった際、正しく処理を終了できない場合があるという問題です。

先ほどのお店で考えてみましょう。

ある日、お店に大量の注文が入りました。

スタッフは注文票を作業台に広げて処理していましたが、あまりにも注文が多く、作業台がいっぱいになってしまいました。

本来であれば、作業を中断し、途中まで使っていた書類を適切に片付けなければなりません。

ところが、今回の問題では、作業が途中で中断された際に、未完成の書類を正しいものとして扱ってしまうような状態が起こります。

その結果、本来は行われないはずの処理につながる可能性があります。

PHPでも、メモリ不足が発生した際に、内部の情報が正しく準備されないまま後片付けの処理が行われてしまう場合があることが判明しました。

この問題を悪用されると、攻撃者がサーバー上で不正なプログラムを実行できる可能性があります。

② 作業が終わった後の情報を、誤って使ってしまう脆弱性

CVE-2026-109619

二つ目は、PHPが作業を終えた後、不要になったメモリの情報を正しく管理できない場合があるという問題です。

こちらもお店で例えてみましょう。

スタッフが一人のお客様の注文を処理し終え、作業台を片付けたとします。

本来であれば、使用済みの書類は処分し、次の注文では新しい書類を使うはずです。

ところが、スタッフが持っている作業手順書には、すでに処分した書類の保管場所が残っていました。

その後、新しい注文が入った際に、スタッフがその古い保管場所を参照してしまいます。

しかし、そこにある情報は、すでに以前のものとは変わっているかもしれません。

それにもかかわらず、以前の情報だと思って処理を進めてしまうのです。

PHPでも同じように、すでに解放されたメモリを指す情報が残り、その情報を後の処理で使ってしまう場合があることが判明しました。

この問題を悪用されると、攻撃者がPHPの処理に干渉し、不正なプログラムを実行できる可能性があります。

つまり、2つの脆弱性は何が違うのか？

今回発見された2つの問題を整理すると、1つ目は、作業が途中で中断されたときの処理ミス。

2つ目は、作業が終わった後の情報管理ミス。

という違いがあります。

どちらも、PHPが内部で使用するメモリを正しく管理できないことによって発生する問題です。

そして、今回特に深刻なのは、条件がそろえば、Webサイトの管理画面にログインしていない第三者でも、これらの問題を悪用できる可能性があるという点です。

この2つの脆弱性は、まとめて「PHP2Shell」と呼ばれています。

もし脆弱性を悪用されたら、何が起こる？

今回の脆弱性が悪用された場合、外部の第三者がサーバー上で不正なプログラムを実行できる可能性があります。

これを専門用語で「リモートコード実行（RCE）」と呼びます。

お店の例えで考えると、単にお客様がスタッフルームに入ってしまうという問題ではありません。

お店の外にいる第三者が、裏側で働くスタッフに、本来行うはずのない作業をさせてしまうような状態です。

例えば、攻撃が成功した場合、次のような被害につながるおそれがあります。

① ホームページを勝手に書き換えられる

企業のホームページに、身に覚えのない文章や画像を掲載されたり、訪問者を別のサイトへ誘導されたりする可能性があります。

② 企業や顧客の情報を盗まれる

サーバー内に保存されている情報のうち、攻撃者がアクセスできる範囲の情報を読み取られる可能性があります。

③ サーバーを不正に利用される

企業のサーバーが、迷惑メールの送信や別のサイバー攻撃などに悪用される可能性があります。

④ ホームページが正常に動かなくなる

不正なプログラムの実行によって、Webサイトの表示や機能に不具合が生じる可能性があります。

これらは、今回の脆弱性が悪用された場合に考えられる被害の例です。

必ずしもすべての被害が発生するわけではなく、実際の影響はサーバーの設定や攻撃者が取得した権限などによって異なります。

しかし、企業のホームページが改ざんされたり、顧客情報が流出したりすれば、企業の信用にも大きな影響を与えかねません。

だからこそ、今回の脆弱性については、早めの確認と対応が重要なのです。

WordPressを使用している企業も対象になる？

今回の問題で、特に確認していただきたいのが、WordPressを利用している企業です。

WordPressは、企業のコーポレートサイトや採用サイト、ブログなど、さまざまなWebサイトで利用されています。

そして、WordPressはPHPによって動いています。

そのため、WordPress本体を最新の状態にしていても、サーバー側で使用しているPHPに脆弱性が残っている可能性があります。

ここで重要なのが、WordPressとPHPは別々に管理されているということです。

お店で例えるなら、WordPressは「お店を運営するための仕組み」、PHPは「その仕組みを動かすスタッフ」のような関係です。

お店の設備を新しくしても、スタッフの作業方法に問題が残っていれば、すべての問題が解決するわけではありません。

同じように、WordPressを更新したからといって、必ずしもPHPまで更新されるわけではないのです。

つまり、企業サイトを安全に運用するためには、WordPressだけでなく、その裏側で動くPHPやサーバー環境も含めた管理が必要になります。

ただし、WordPressを利用しているすべてのサイトが、今回の脆弱性によって直ちに攻撃を受けるわけではありません。

実際の危険性は、PHPのバージョンやサーバー構成、修正パッチの適用状況などによって異なります。

企業が今すぐ確認したい3つのこと

今回のPHPの脆弱性を受けて、企業が確認しておきたいことを3つに整理しました。

1. 自社サイトのPHPバージョンを確認する

まずは、現在使用しているPHPのバージョンを確認しましょう。

今回の脆弱性に対して、2026年10月21日に以下の修正版が公開されています。

| PHPの系列 | 修正済みバージョン | | --- | --- | | PHP 8.2系 | PHP 8.2.35 | | PHP 8.3系 | PHP 8.3.36 | | PHP 8.4系 | PHP 8.4.27 | | PHP 8.5系 | PHP 8.5.12 |

これらの系列で修正前のバージョンを使用している場合は、アップデートなどの対応が必要です。

また、PHP 8.1以前のバージョンは、公式サポートが終了しています。

古いPHPを使用している場合は、今回の問題に限らず、継続的なセキュリティ対策の観点からも見直しをおすすめします。

ただし、サーバー提供会社などが独自に修正パッチを適用している場合もあります。

そのため、バージョン番号だけで判断せず、利用しているサーバーの提供元や保守会社に確認することが重要です。

WordPressを使用している場合は、管理画面からPHPのバージョンを確認できることがあります。

一般的には、以下の手順で確認できます。

1. WordPressの管理画面にログインする
2. 「ツール」を開く
3. 「サイトヘルス」を選択する
4. 「情報」から「サーバー」の項目を確認する

ここに現在使用しているPHPのバージョンが表示されます。

「管理画面にログインできない」 「サーバーの契約情報がわからない」 「そもそも誰が管理しているのかわからない」

このような場合は、Webサイトを制作した会社や保守会社に確認してみましょう。

2. バックアップを取ったうえでアップデートする

現在使用しているPHPが今回の脆弱性の影響を受ける場合は、速やかに修正版への更新を検討してください。

ただし、ここで注意していただきたいことがあります。

それは、PHPのアップデートによって、Webサイトに不具合が発生する可能性があるということです。

PHPはWebサイトの裏側で動いているため、バージョンを変更すると、使用しているWordPressのテーマやプラグイン、独自に開発した機能などが正常に動作しなくなる場合があります。

例えば、お問い合わせフォームが動かなくなったり、ホームページの一部が正常に表示されなくなったりする可能性があります。

そのため、更新前にはWebサイトのファイルやデータベースのバックアップを取得し、必要に応じてテスト環境で動作を確認することが重要です。

ただし、不具合が心配だからといって、脆弱性のある状態を放置することも危険です。

安全性とWebサイトの正常な動作を両立するためにも、更新作業に不安がある場合は専門業者への相談をおすすめします。

3. 不正アクセスや異常がないか確認する

PHPを修正版へ更新した場合でも、それだけで必ずしも対応が完了するわけではありません。

なぜなら、更新前に不正アクセスを受けていた場合、サーバー内に不正なファイルなどが残っている可能性があるためです。

例えば、ホームページに身に覚えのないページが追加されていたり、知らないサイトへ転送されたりしていないかを確認しましょう。

また、サーバーのアクセスログやエラーログなどを調査することで、不審なアクセスや異常な動作の痕跡を確認できる場合があります。

ただし、ホームページが普段どおり表示されているからといって、安全だと断定することはできません。

必要に応じて専門業者による調査を行うことも重要です。

大切なのは、ホームページを制作した後の管理

今回のPHPの脆弱性を通して、改めて考えていただきたいことがあります。

それは、Webサイトは制作して終わりではないということです。

ホームページを公開した時点では問題がなくても、数年後には新たな脆弱性が発見されることがあります。

また、使用しているシステムのサポートが終了することもあります。

そのため、企業サイトを安全に運用するためには、公開後の継続的な保守・管理が欠かせません。

特に注意したいのが、次のようなケースです。

「ホームページを制作してもらってから、一度も更新していない」 「制作会社が管理してくれていると思っていた」 「保守契約はあるけれど、何をしてもらっているのかわからない」 「担当者が退職して、サーバーの情報がわからなくなった」

実際には、Webサイトの保守契約を結んでいても、PHPの更新やサーバーのセキュリティ対策まで含まれているとは限りません。

WordPressの更新だけを行う契約もあれば、サーバー管理やバックアップまで対応する契約もあります。

大切なのは、保守契約を結んでいるかどうかだけではありません。

誰が、何を、どこまで管理しているのかが明確になっていることです。

Webサイトは、企業の情報発信や集客、採用活動を支える大切な資産です。

だからこそ、制作時のデザインや機能だけでなく、公開後も安心して運用できる体制を整えることが重要です。

自社サイトのセキュリティや管理状況が不安な方へ

今回のPHPの脆弱性について、必要以上に不安になる必要はありません。

しかし、「よくわからないから何もしない」という判断は避けたいところです。

まずは、自社サイトで使用しているPHPのバージョンや、セキュリティアップデートの対応状況を確認してみましょう。

株式会社Galaxiaでは、Webサイトの制作だけでなく、公開後の運用・保守やセキュリティに関するご相談も受け付けています。

「自社サイトが今回の脆弱性の対象なのかわからない」 「PHPのバージョンを確認する方法がわからない」 「PHPを更新したいけれど、不具合が起きないか心配」 「現在のホームページの保守・管理体制を見直したい」

このようなお悩みがあれば、お気軽にご相談ください。

Webサイトの状況によって、必要な対応は異なります。

すべてのサイトに大規模な改修が必要なわけではありません。

まずは現在の状況を把握し、必要な対応を整理することが大切です。

企業の大切なWebサイトを、安心して運用していくために。

今回の脆弱性をきっかけに、自社サイトの管理体制を見直してみませんか？

Webサイトの運用・保守、セキュリティ対策については、株式会社Galaxiaまでお気軽にお問い合わせください。

【Webサイトの運用・保守についてGalaxiaへ相談する】