【注意喚起】PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）について

掲載日:2026年10月22日
パシフィックシステム株式会社　サイバーセキュリティ研究所

概要

2026年10月21日(日本時間)、PHP開発チームは、PHP本体の重大な脆弱性2件を修正したバージョンを公開しました。どちらの脆弱性も深刻度は「Critical」(CVSS v4.0 基本値 9.2)です。悪用されると、認証なしで外部から任意のコードを実行される(リモートコード実行)おそれがあります。

この脆弱性は、修正版が公開される前に技術情報がインターネット上に出回りました。その後、この脆弱性を狙ったとみられる攻撃通信も報告されています。PHPを利用しているWebサイトやWebアプリケーションを運用している方は、早急に対応してください。

対象の脆弱性

• CVE-2026-109618

メモリ不足(OOM)時のメモリ破損によるリモートコード実行　深刻度:Critical(9.2)

• CVE-2026-109619

グローバル状態の不適切な残存によるリモートコード実行　深刻度:Critical(9.2)

影響を受けるシステム

修正版より前のPHP 8.2系、8.3系、8.4系、8.5系を使っているシステム
mod_php(Apache)、PHP-FPMなど、どの実行形態でも対象になります
WordPressなどのCMSや、PHPで作られた業務システムも対象です

※ サポートが終了したバージョン(PHP 8.1系以前)には修正版が提供されません。サポート中のバージョンへ移行してください。

対策

1. 修正版へのアップデート(根本対策)
次のいずれかのバージョンへ更新してください。

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

※ WordPressやプラグインを更新しても、この脆弱性は直りません。サーバー側のPHP本体を更新する必要があります。
※ レンタルサーバーやクラウドサービスを利用している場合は、事業者の対応状況を確認してください。

2. すぐに更新できない場合の暫定策
PHPの設定で session.upload_progress.enabled = Off にすると、CVE-2026-109619の既知の攻撃経路を防げます。ただし完全な対策ではありません。できるだけ早く修正版へ更新してください。

3. 侵害の有無の確認
修正版が公開される前から攻撃されていた可能性があります。Webサーバーのアクセスログや、不審なファイル(Webシェルなど)が置かれていないかを確認することをお勧めします。

参考情報

• PHP公式サイト(セキュリティリリース告知)
  https://www.php.net/
• 情報処理推進機構(IPA)
  https://www.ipa.go.jp/
• JPCERT/CC
  https://www.jpcert.or.jp/

※ この情報は掲載日時点のものです。新しい情報が入り次第、更新します。