PHPに重大な脆弱性、修正版を公開。WordPress運営者が確認したいPHP本体の更新

PHPの開発チームは10月21日、2件の重大な脆弱性に対応する修正版を公開しました。対象はCVE-2026-109618とCVE-2026-109619です。条件がそろうと、外部からコードを実行される危険につながります。

ENISAの共同声明によると、修正版の公開時刻は10月21日13時40分UTC、日本時間では同日22時40分です。公開前の報道と、修正版が利用可能になったあとの情報を区別して確認する必要があります。

公開された修正版

PHP公式が案内する修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。

サイト運営者がまず確認したいのは、サーバーで実際に使われているPHPのバージョンと、ホスティング事業者の対応状況です。管理画面に表示されるCMSのバージョンだけでは、PHP本体の更新を確認したことにはなりません。

レンタルサーバーを利用している場合は、事業者の公式案内や管理画面で、修正版またはベンダーによる修正のバックポートが適用されたか、利用者側の切り替え操作が必要かを確認します。更新作業では、既存サイトの互換性やバックアップも確認してください。

AIが発見を支援。攻撃を狙う通信も観測

研究者側の説明では、脆弱性の発見にAIが使われました。Wizは、Wiz AtlasやGoogle、OpenAIのモデルを活用した調査について公表しています。

Cloudflareは、脆弱性の悪用を狙う攻撃通信を観測したと説明しています。ただし、攻撃の試行が見つかったことと、個別サイトで侵入が成功したことは別です。利用者のサイトで被害が確認されたという意味でもありません。

オランダ政府は、NCSCが重大な脆弱性を確認し、予防的に一部のシステムを停止したことを公表しました。

WordPressの更新だけで終わらせない

WordPressはPHPを利用して動作します。今回の問題はPHPの実行環境に関わるため、WordPress本体やプラグインを更新しただけで、PHP本体の脆弱性まで解消するとは限りません。

一方、WordPressを使っているというだけで、すべてのサイトの被害や危険度が同じだともいえません。PHPのバージョンや構成、到達可能な処理などを含めて確認する必要があります。

Next.jsを使ったサイトについても、周辺にPHP製の管理画面や別サービスがないかまで含めて考えることが大切です。表示部分のフレームワークだけで、システム全体への影響を決めつけないようにしたいところです。