PHPの深刻な脆弱性への対応状況と、緊急アップデートのご相談受付について

2026年10月21日の日本時間23時ごろ、PHPの開発元が、深刻度の高い2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正した版を公開しました。VAONが保守をお預かりしている5つのシステムでは、公開の直後から更新作業に入りました。PHPの更新は約1時間で終え、そのあと、システムごとに全体のテストを行っています。

当夜の対応

作業の間は、Webサーバーとロードバランサーの設定でメンテナンス画面を返し、リクエストがPHPに届かない状態にしました。アプリケーションに備わっているメンテナンス機能はPHPの上で動くため、今回の脆弱性に対しては守りになりません。

そのうえで、システムごとにサーバーの構成とPHPの入手元を確かめてから、修正版に更新しました。コマンドで表示されるPHPのバージョンと、実際にWebで動いているPHPが食い違うこともあるので、両方を確認しています。

時間を使ったのは、更新そのものより、その後でした。どのライブラリのどのバージョンが新しいPHPで問題を起こしうるかを洗い出し、システム全体をテストし直す作業です。作業の内容と結果は、各システムのご担当者にご報告しています。

背景

PHPの開発元は、2件ともCVSS v4.0で9.2と評価し、完全な回避策はなく、更新が唯一の安全な選択肢だとしています。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。IPA（情報処理推進機構）も10月22日に注意喚起を公開し、この2件を「PHP2Shell」と呼んでいます。PHP 8.1以前には今回の修正版が提供されず、PHP 8.2も2026年12月31日にサポートが終わります。

PHPのサイトやシステムをお持ちの企業さまへ

WordPressを含め、PHPで動くサイトやシステムは対象になりえます。制作会社や保守会社に、次の点を確認されることをおすすめします。

• PHPのバージョンと、修正版への更新が済んでいるかどうか
• すぐに更新できない場合、どのような暫定対策をとっているか。PHP 8.1以前であれば、移行をいつ行うか

確認先が分からない場合や、社内に担当の方がいない場合は、VAONの「PHP緊急アップデート・影響診断」でご相談をお受けします。PHPのバージョンと動作方式の診断から、修正版への更新、更新後の動作確認までを行う支援です。費用は、環境を伺ったうえで、作業の前にお見積りします。

ご相談

サイトのURLと、分かる範囲でサーバーの種類をお知らせください。

お問い合わせ：https://vaon.com.vn/ja/contact
お急ぎの場合：luan.dang@vaon.com.vn

参考

• PHP：PHPセキュリティ告知（2026年10月21日、php.net）
• IPA：注意喚起（2026年10月22日、ipa.go.jp）