PHPの重大脆弱性に首相も呼びかけ。起きたことと、次に備える運用

こんにちは、株式会社TIMEWELLの濱本です。

2026年10月21日の夜、PHPの重大な脆弱性2件をめぐって、国家サイバー統括室と高市首相が、それぞれXで対応を呼びかけたと報じられました。首相の投稿は「大至急のお願い」という言葉で始まったそうです。¹² 報道によれば、首相の投稿は、予告されていた修正版の公開時刻より前でした。国の側が、公開前の準備を求める。私は、あまり見たことのない光景だと感じました。

この記事では、まず何が起きたかを、PHP開発元の公式発表と、報道で伝えられた国の動きに分けて整理します。そのうえで、こうしたことが今後も起こるという前提で、会社が平時から備えておく運用を書きます。当社自身がNode.jsの脆弱性を確認して対応した内容も、事実の範囲で載せました。数字と日付は、2026年10月22日朝までに確認できたものです。

起きたこと。時系列で

日付	出来事	出典
10月20日	PHPセキュリティチームが、10月21日14:00 UTC（日本時間の同日23時）に、重大な脆弱性2件の修正版を出すと事前告知。詳細が公開された場合や、悪用の兆候が見つかった場合は、前倒しする権利を留保するとも	3
10月21日	修正版の8.5.12、8.4.27、8.3.36、8.2.35が公開。認証なしでリモートコード実行を許す可能性があり、直ちに更新するよう強く推奨	345
10月21日の夜	報道によると、高市首相が午後10時ごろにXへ投稿。国家サイバー統括室も、Xの公式アカウントで、更新プログラムの速やかな適用を呼びかけた	126
同じ夜から	報道によると、ゲーム、動画・イラスト投稿、金融機関、鉄道、レンタルサーバー事業者などが、予防的に緊急メンテナンスを実施	7

首相の投稿について、私はXを直接は見ていません。日本テレビと毎日新聞の報道が伝える内容によれば、修正パッチを可及的速やかに適用できるよう準備を求めたうえで、適用が難しい場合は、ウェブサイトなどを一時的に停止することも有効な策の一つだと述べたとされています。¹² 国家サイバー統括室の投稿も、同じ趣旨だったと報じられています。⁶ 一次の投稿そのものではなく、報道を通じた確認である点は、ご承知おきください。

脆弱性の中身は、どういうものか

PHP開発元の公式発表によれば、修正されたのは2件です。どちらもCVSS v4.0で9.2、最も深刻な区分のCriticalと評価されています。³⁴⁵

1件目はCVE-2026-109618です。メモリ不足の処理で、PHPがリクエストの途中で中断されると、内部のデータが部分的にしか初期化されていない状態が残ります。その後の後始末が、不正なデータを有効なものとして扱ってしまう、という説明です。⁴ 2件目はCVE-2026-109619で、リクエストが使っていたメモリが解放されたあとも、内部の状態が残り続けます。同じ作業プロセスが次のリクエストを処理するときに、その古い状態を使ってしまう、というものです。⁵

どちらも、認証なしでウェブの作業プロセスの権限を奪える可能性があります。開発元は、Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、ウェブのリクエストを処理するPHPの環境すべてが対象だとしています。特にmod_phpが最も危険で、アプリケーションのコードが動く前に、認証なしのリクエストで攻撃が成立することが実証されたと説明しています。³

ここで大事なのは、開発元自身が「完全な緩和策はなく、更新だけが安全な選択肢」と明言している点です。³ メモリ上限の設定や、セッションのアップロード進捗機能の無効化といった暫定策は、特定の攻撃経路への露出を減らすだけで、システムが安全になるわけではありません。³⁵ 公開前には、設定ひとつで防げるという見方も出ていましたが、追加の調査で、それだけでは対策にならないことが分かったと報じられています。⁸

更新の対象にも注意が必要です。修正版が出たのは、8.2系から8.5系までです。8.1以前は、開発元の更新が提供されなくなっています。7.4、8.0、8.1向けには、ソースコードからビルドする人のために、最小限の修正が公開されましたが、ディストリビューションや保守を請け負うベンダーが出す修正を確認するか、サポート中のバージョンへ移るのが基本です。³ なお、8.2系も、2026年12月31日でサポートが終わります。³ 今回の更新が済んだあとも、移行の計画は別に必要です。

なぜ、国まで動いたのか

ここからは、私の見方です。

一つは、PHPの普及の大きさです。調査会社W3Techsの数字によると、サーバー側の言語が判明しているサイトのうち、69.3%がPHPを使っています。⁹ 国内の報道は「ウェブの7割」と伝えました。会社のサイト、通販、予約、自治体の窓口、中小事業者のWordPressまで、思いもよらない場所に入っています。

二つ目は、認証なしで攻撃が成立しうる、という性質です。ログインの壁が守ってくれません。

三つ目は、予告から公開までの時間でした。今回は、修正版の公開より先に、重大な脆弱性が2件あることと、公開の時刻が知らされました。準備する時間があるなら、その間に備えてもらう。国の呼びかけは、その時間を使うためのものだったと、私は受け取っています。

ここで、混同しないでほしいことがあります。国が呼びかけたことは、被害が確認されたことを意味しません。2026年10月22日朝の時点で、公式に悪用が確認されたとする情報は、私が確認できた範囲にはありませんでした。ただ、公開前に識別子が広まり、悪用を名乗るコードが出回ったこと、セキュリティ企業の幹部が早期の攻撃の兆候に触れたと伝えられていることは、事実として報じられています。出回っているコードは、検証されていないもので、マルウェアが混入している場合もあると注意されています。⁹ 実害の有無とは別に、備える側は、攻撃が来る前提で動くしかありません。

今後も、起こり得る

今回のようなことは、これで最後ではないと、私は考えています。理由は、国の資料に書かれています。

国家サイバー統括室などは、2026年5月18日に、重要インフラ事業者等に向けた注意喚起を出しています。そこには、高性能なAIの活用で、脆弱性の発見や修正が高速化することが考えられる、とあります。一方で、攻撃者に悪用されると、「脆弱性の発見から悪用までの時間が極めて短くなるとともに、多数の脆弱性への対応が必要となります」と書かれています。¹⁰ そのため、既知の未処理の脆弱性のリスクを検証し、資産管理を徹底し、脆弱性情報を積極的に集め、優先順位をつけて速やかに対応するよう求めています。さらに、そのためのプロセスと体制を、あらかじめ構築しておくことを推奨しています。¹⁰

この注意喚起の宛先は、重要インフラ事業者等です。ただ、考え方は、どの会社にもそのまま当てはまると思います。脆弱性の件数が増え、悪用までの時間が縮む。そうなれば、「事件が起きてから慌てる」やり方は、もう持ちません。

実際に、同じ2026年10月21日に、Node.jsでも修正が出ました。公式の発表によると、セキュリティリリースは、26.x系がv26.12.1、24.x系がv24.22.1、22.x系がv22.23.4で、脆弱性は合計10件、深刻度はHighが4件、Mediumが3件、Lowが3件です。Highの中には、Brotliデコーダの範囲外書き込みでリモートコード実行が可能になるもの、TLS証明書のホスト名検証をすり抜けられるものが含まれます。¹¹ PHPほど大きく報じられたわけではありません。それでも、使っている側にとっては、同じ種類の「更新が要る日」です。

当社が確認したこと

当社のウェブサイトは、Next.js（Node.js上で動くフレームワーク）で作っています。PHPとNode.jsの両方について、確認した内容を、事実の範囲で書きます。

PHPについて。 サイトのリポジトリ（ソースコードの置き場）を確認しました。PHPのコード、PHPの依存管理の設定、PHPの実行環境を作る設定は、見つかりませんでした。確認できた範囲では、影響を受ける構成はありません。ただし、これはリポジトリの中の話です。外部のサービスや、委託先、レンタルサーバーの側は、リポジトリからは判断できません。そこは、人が確認する対象として分けて扱っています。

Node.jsについて。 2026年10月21日のセキュリティリリースを受けて、サイトの動く環境（Vercel）のNode.jsのバージョンを確認しました。ビルドのログで、24.x系の修正版であるv24.22.1で動いていることを確認しています。あわせて、毎回のビルドログの先頭に、Node.jsのバージョンが出るように変更しました。次に同じことが起きたとき、ログを開けば、どの版で動いたかがすぐに分かるようにするためです。

これは、「当社は大丈夫」と言いたい話ではありません。影響の有無とは別に、修正版が出たら、自分たちの環境がどの版で動いているかを、数分で確かめられる状態にしておく。その小さな仕組みが、慌てずに済むかどうかを分けると考えています。

今夜から今週にやること

PHPをお使いの会社の担当の方に向けて、順番に書きます。

1. 使っているPHPを洗い出す。 自社のサイト、WordPress、通販のシステム、受託で作ってもらったもの、レンタルサーバー、外部のサービスの中身まで。「うちはPHPを使っていない」と思っていても、委託先や関連会社が使っていることがあります。
2. バージョンを確認する。 修正版は8.5.12、8.4.27、8.3.36、8.2.35です。これより古いなら、更新が必要です。³
3. 更新する、または提供元に確認する。 自社のサーバーなら、修正版へ更新し、作業プロセスを再起動します。レンタルサーバーやLinuxのパッケージなら、事業者や配布元の更新済みパッケージを確認します。8.1以前は、バックポート（古い版への修正の移植）があるかを、提供元に確認します。³
4. すぐに更新できないときは、暫定策と停止を同時に検討する。 開発元が挙げる暫定策は、メモリ上限の設定、アップロード進捗機能の無効化などですが、いずれも完全ではありません。³ 国の呼びかけにあったとおり、ウェブサイトを一時的に止める判断も、選択肢に入れてください。¹
5. 更新後の動作を確認する。 設定の変更を入れたなら、作業プロセスを再起動したうえで、意図した設定になっているかを確かめます。公式のアドバイザリは、ログに記録がないことは、安全の証明にならないと注意しています。⁵
6. 関係者に伝える。 経営層、委託先、お客様への連絡の要否を、早めに決めます。

平時に作っておく仕組み

ここからが、本題です。次に備えて、平時に決めておきたいことを、四つに絞ります。

一つ目は、台帳です。 何のソフトウェアを、どのバージョンで、どこで動かしているか。サポートの期限はいつか。これが一覧になっていないと、「うちは対象か」を調べるところから始まります。国の注意喚起が、資産管理の徹底を求めているのは、このためです。¹⁰

二つ目は、情報の窓口と担当者です。 PHPなら公式のお知らせ、Node.jsなら公式のセキュリティ情報。使っているものごとに、誰が見るかを決めます。今回のように、予告が先に出るケースでは、予告を見た人がいたかどうかで、準備の時間が変わります。

三つ目は、判断の基準です。 更新を急ぐのか、サイトを止めるのか、様子を見るのか。重大度、認証の有無、公開範囲、事業への影響を材料に、誰が決めるかを、あらかじめ決めておきます。国の注意喚起も、迅速なリスク評価と対応は、事業継続の観点を含む総合的な判断になり得るので、その手順と体制を前もって作ることを推奨しています。¹⁰

四つ目は、連絡網です。 停止が必要になったとき、誰に、どの順で伝えるか。夜中や休日でも動けるか。今回の修正版は、予告では日本時間の夜11時の公開でした。

私は、この4つのうち、いちばん効くのは台帳だと思っています。ほかの3つは、台帳があって、はじめて回りだします。

まとめ

PHPの重大な脆弱性2件に対し、開発元は更新だけが安全な選択肢だと明言し、国家サイバー統括室と首相は、公開前から準備を呼びかけたと報じられました。被害の確認とは別の、予防的な動きです。そして、国の資料が示すとおり、脆弱性の発見から悪用までの時間は縮み、対応すべき件数は増えていく見込みです。

今回のPHPの件が落ち着いたら、ぜひ、自社の台帳を作る時間をとってください。完璧でなくて構いません。まずは、自社で動いているソフトウェアを、10個書き出すところからで十分です。社内の点検や、更新の判断基準づくりについて相談したい方は、WARP SECURITYの個別相談からお声がけください。電力インフラの機器管理について書いたこちらの記事も、考え方は近いので、あわせてどうぞ。新しい情報が出たら、この記事を更新します。

参考

Footnotes

1. 【専門家解説】企業や自治体などサイトが続々「緊急メンテナンス」。高市首相が呼びかけ — 日テレNEWS NNN — 2026年10月21日 ↩ ↩² ↩³ ↩⁴

2. 高市首相「大至急のお願い」 プログラミング言語PHPの脆弱性で — 毎日新聞 — 2026年10月21日 ↩ ↩² ↩³

3. PHP公式「2026年10月20日・21日のセキュリティリリースのお知らせ」（英語）— The PHP Group — 2026年10月20日・21日 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹

4. GHSA-w8hw-w9fx-j79w（CVE-2026-109618）RCE via OOM corruption（英語）— PHP公式のセキュリティアドバイザリ — 2026年10月21日 ↩ ↩² ↩³

5. GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）RCE via stale global state（英語）— PHP公式のセキュリティアドバイザリ — 2026年10月21日 ↩ ↩² ↩³ ↩⁴ ↩⁵

6. 「PHP」の重大な脆弱性を修正する更新プログラムが公開。国家サイバー統括室が速やかな適用を呼びかけ — 電ファミニコゲーマー — 2026年10月21日 ↩ ↩²

7. PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開 「直ちにアップデートを」 — ITmedia NEWS — 2026年10月22日 ↩

8. "PHP" に "致命的" な脆弱性2件、日本時間21日深夜に緊急のセキュリティリリースへ（15時20分追記）— 窓の杜 — 2026年10月21日 ↩

9. php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ（英語）— Tenable — 2026年10月21日 ↩ ↩²

10. AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について（重要インフラ事業者等に対する注意喚起）— 内閣官房 国家サイバー統括室ほか — 2026年5月18日 ↩ ↩² ↩³ ↩⁴

11. Node.js Security Releases, October 2026（英語）— Node.js — 2026年10月21日 ↩