放置するとWebサーバーを乗っ取られる可能性も

2026年10月21日、PHP開発チームは、認証を受けていない外部の攻撃者によってサーバー上で任意のコードを実行される可能性がある、2件の重大な脆弱性を公表しました。

対象となるのは「CVE-2026-109618」と「CVE-2026-109619」です。
いずれも深刻度はCVSS 9.2と評価されており、PHP公式はすべての利用者に即時の更新を強く推奨しています。

PHPは、WordPressをはじめとするCMS、ECサイト、予約システム、会員サイト、問い合わせフォームなど、幅広いWebシステムで使用されています。

自社でPHPを導入した記憶がなくても、レンタルサーバーや業務用Webシステムの内部で利用されていることがあります。
まずは「自社に関係がない」と判断せず、利用状況を確認することが重要です。

今回の脆弱性はどれほど重要なのか

今回の問題で特に注意すべきなのは、攻撃者がIDやパスワードを持っていなくても、インターネット経由のリクエストによって攻撃できる可能性がある点です。

PHP公式によると、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理しているPHP環境が対象です。

脆弱性を悪用された場合、攻撃者がWebサーバー上で不正なプログラムを動かせる可能性があります。これを「リモートコード実行」と呼びます。

脆弱性を放置すると、次のような被害につながるおそれがあります。

– Webサイトの改ざん
– 顧客情報や注文情報の窃取
– データベースのID・パスワードの漏えい
– 不正な管理者アカウントやバックドアの設置
– マルウェアやランサムウェアへの感染
– 他のサーバーや社内ネットワークへの侵入
– Webサービスの停止

必ず被害が発生するという意味ではありません。しかし、インターネットに公開されたシステムで、認証なしに悪用される可能性があるため、対応の優先順位は非常に高いと考えるべきです。

修正版への更新が必要
PHP公式が公開した修正版は次のとおりです。

使用している系列 修正版
PHP 8.5 8.5.12
PHP 8.4 8.4.27
PHP 8.3 8.3.36
PHP 8.2 8.2.35

PHP公式は、完全な緩和策はなく、更新が唯一の安全な選択肢だと説明しています。

また、PHP 8.1以前はPHPプロジェクトによる通常のサポートが終了しています。Linuxディストリビューションや長期サポート事業者が修正を提供する場合もありますが、提供元への確認またはサポート対象バージョンへの移行が必要です。

公式情報は以下から確認できます。

PHP公式セキュリティ情報

JVN：PHPにおける複数の任意のコード実行脆弱性

今すぐ確認したい対応

1．PHPを使用しているシステムを確認する
対象には自社開発のシステムだけでなく、WordPress、ECサイト、問い合わせフォーム、社内ポータル、VPS、サーバー管理ツールなども含まれます。

共有レンタルサーバーを利用している場合は、管理画面またはホスティング事業者のお知らせで、PHPのバージョンと対応状況を確認してください。
ウイルネットでは、共用サーバーLinux/Windows及びマネージドプランのサーバーについて昨晩23時～のメンテナンスで対応完了しています。
（一部PHPのサポート終了バージョンを除く）

2．修正版を適用する
VPSや自社サーバーでは、OSやPHPの提供元が公開した手順に従って更新します。

Linuxでは修正内容が古いバージョン番号へ反映される「バックポート」が行われる場合があります。
そのため、数字だけで判断せず、OSベンダーのセキュリティ情報を確認してください。

3．更新前にバックアップを取得する
PHPを更新すると、古いWebアプリケーションやプラグインが動作しなくなる場合があります。

事前にサーバー、Webコンテンツ、設定ファイル、データベースをバックアップし、問題が起きた場合に戻せる状態を作ってから更新します。
ただし、バックアップ作業を理由に更新を長期間延期してはいけません。

4．ログとサーバーの状態を確認する
更新するだけでなく、すでに侵入されていないかも確認します。

– 通常より多いWebアクセスやエラー
– 見覚えのないファイルやプログラム
– 不明な管理者アカウント
– PHPやWebサーバーからの不審な外部通信
– 身に覚えのない設定変更
– 不自然に高いCPU・メモリー使用率

異常が見つかった場合は、対象サーバーをネットワークから切り離し、ログを保存したうえで調査します。
侵害が疑われる環境を、そのままバックアップから上書きして調査記録を失わないことも大切です。

WAFは有効だが、更新の代わりにはならない
Akamai App & API ProtectorのようなWAFをWebサイトの手前に配置すると、不審な通信を検査し、既知の攻撃パターンや異常なリクエストを遮断する防御層を追加できます。Akamai

ただし、今回の脆弱性についてPHP公式は「更新だけが完全な解決策」としています。WAFは緊急時のリスク低減や多層防御として利用し、PHP本体の更新と組み合わせる必要があります。

Acronisで「更新前・攻撃中・被害後」に備える
Acronis Cyber Protect Cloud／Acronis Cyber Platformでは、バックアップと復旧、マルウェア・ランサムウェア対策、脆弱性診断、パッチ管理、EDR、エンドポイント管理などを一つの基盤で運用できます。アクロニス

今回のようなケースでは、次の対策に活用できます。
– PHP更新前にサーバーやデータをバックアップする
– 更新後に問題が起きた場合の復旧手段を確保する
– サーバーや端末の脆弱性、更新状況を可視化する
– マルウェアや不審な挙動を検知・調査する
– ランサムウェアなどによるデータ消失に備える
– 複数のサーバーや端末を一元管理する

ただし、Acronisのパッチ管理が、利用中のすべてのPHP環境を自動的に更新できるとは限りません。
PHP、OS、ホスティングサービス、Webアプリケーションそれぞれの対応状況を確認したうえで利用する必要があります。

まとめ
今回のPHP脆弱性は、認証なしでWebサーバー上のコードを実行される可能性があり、緊急性の高い問題です。

最も重要な対応は、PHPの利用状況を確認し、提供元が案内する修正版を速やかに適用することです。
そのうえで、WAFによる入口対策、EDRによる侵入後の検知、バックアップによる復旧対策を組み合わせます。

弊社では、PHPを利用しているサーバーの確認、AkamaiによるWeb・API保護、Acronisによるバックアップ・EDR・端末管理を含めた多層的なセキュリティ対策をご提案しています。

「自社サイトが対象か分からない」
「レンタルサーバーの確認方法が分からない」
「更新前に安全なバックアップを取りたい」
「WAFとAcronisを組み合わせて対策したい」

このような場合は、現在の構成を確認したうえで必要な対策をご案内します。お気軽にお問い合わせください。

Acronis・Akamai・脆弱性診断のご相談はこちら

執筆・監修：株式会社ウイル 執行役員 岸本　静樹
編集協力：生成AI