PHP の脆弱性（2026年10月）、何をすればいい？

この記事で分かること

• PHP に、ログインなしで外から命令を動かせるおそれのある脆弱性が2件見つかった
• 直した版（8.5.12・8.4.27・8.3.36・8.2.35）が10月21日に出ている
• サイトを持っている人は、PHP を使っているか → 直した版になっているか、を見る

2分で読めます

2026年10月21日、PHP の公式サイトが、重大な脆弱性2件を直した版を公開し、すぐの更新を呼びかけました。PHP は多くのウェブサイトを動かしているソフトウェアなので、自分のサイトは大丈夫かと気になった人も多いと思います。

何が起きて、何をすればいいのかを、PHP の公式サイトの発表をもとにまとめました。脆弱性という言葉そのものは、脆弱性ってなに？ で説明しています。

PHP ってなに？

PHP は、ウェブサイトの裏側で動くプログラムの言葉（プログラミング言語）です。WordPress をはじめ、多くのウェブサイトやレンタルサーバーで使われています。サイトを見る人ではなく、サイトを動かしている側に関係するソフトウェアです。

何が起きた？

PHP の公式サイトの発表を、日付の順に並べると次のとおりです。

• 10月20日：翌日に、重大な脆弱性2件を直した版を出すと予告（どちらも CVSS v4.0 で 9.2）
• 10月21日：直した版（8.5.12・8.4.27・8.3.36・8.2.35）を公開。ログインなしで外から命令を動かせるおそれがあるとして、すべての利用者にすぐの更新を呼びかけ
• 10月23日：上の2件とは別の脆弱性1件について、特定の設定のときだけ当たるとして、次の通常の更新まで設定で避ける方法を案内

2件の番号は CVE-2026-109618 と CVE-2026-109619 です。

だれに関係する？

• ウェブサイトを持っている人：自社のサイト、お店のサイト、WordPress のブログなど。PHP で動いているサイトが当たります。
• サイトを見るだけの人：見る側が何かをする必要はありません。

自分のサイトが PHP で動いているか分からないときは、サイトを作った会社や、レンタルサーバーの管理画面・案内を見ます。

何をすればいい？

1. レンタルサーバーのお知らせを見る：多くの会社が、対応したかどうかを案内しています。会社の側で入れ替えが済んでいれば、追加ですることはないこともあります。
2. PHP の版を見る：管理画面で PHP の版を選べるサービスでは、上の直した版か、それ以降になっているかを見ます。
3. 古い版を使っていたら、移る計画を立てる：PHP 8.1 以前は、公式の修正がもう出ません。PHP 8.2 も、2026年12月31日で修正の提供が終わると案内されています。

サイトの管理を外の会社に頼んでいるなら、「PHP の10月の脆弱性に対応済みか」を聞くのがいちばん早い方法です。

で続けるなら

対応したことを、案件に残す

どのサイトが当たったか、だれがいつ対応したか、PHP の版をいつまでに上げるか。CLUBS の 案件 に残しておけば、12月の PHP 8.2 の終わりが近づいたときも、決めたことを読んでから動けます。

もちのひと言

サイトを持っている人は、今日のうちにレンタルサーバーのお知らせを開いてみてください。

まとめ

• 10月21日に、重大な脆弱性2件を直した PHP が公開された
• 関係するのは、PHP で動くサイトを持っている人
• お知らせを見る → 版を見る → 古い版なら移る計画を

出典：PHP 公式サイトのお知らせ（2026年10月20日〜23日）