いまどうなっているか
- PHP（ホームページを動かすのによく使われる言語）に2つの脆弱性が見つかりました。開発元は10月21日に、直したバージョンを出しています。悪用されると、外からサーバーで好きなプログラムを動かされるおそれがあります。
- 米国の CISA（政府のサイバーセキュリティの機関）は10月26日、2つとも、実際に悪用された脆弱性の一覧に載せました。JPCERT/CC によると、悪用を試みる通信を見たという報告が相次いでいます。
- JPCERT/CC は10月29日、攻撃の調査で、ある1つのファイアウォール製品の特定のバージョンが、この脆弱性を使って侵入されたとみられる跡が見つかった、という報告を追記しました。入られた機器を足がかりに、社内のネットワークへ広げようとした跡もあったとされています。
- IPA は11月2日、PHP は VPN 機器やセキュリティ機器の管理画面などにも使われている、と追記しました。国内で被害が出た例は、10月27日の時点で把握していないと書いています。
まず1つ確かめること
PHP で動くホームページを持っている会社は、PHP が直ったバージョンになっているかを今すぐ確かめることをおすすめします。
レンタルサーバーなら、まずサーバー会社のお知らせを見て、分からなければ作った業者・保守している業者に聞いてください。直っていなければすぐに上げてもらい、上げる前にサーバーへ入られた跡がないかも調べてもらってください。PHP 8.1 以前は開発元からは直ったバージョンが出ないので、サーバー会社や OS の会社が直した物を出していないかを聞き、新しいバージョンへ移ることも相談してください。
（IPA 10月27日・JPCERT/CC 10月26日の追記より）
お使いの PHP のバージョンごとに
| お使いの PHP | 今回の弱点 | どうするか |
|---|---|---|
| 8.5 系 | 8.5.12 より前は対象 | 8.5.12 か、それより新しい 8.5 系に上げる |
| 8.4 系 | 8.4.27 より前は対象 | 8.4.27 か、それより新しい 8.4 系に上げる |
| 8.3 系 | 8.3.36 より前は対象 | 8.3.36 か、それより新しい 8.3 系に上げる |
| 8.2 系 | 8.2.35 より前は対象 | 8.2.35 か、それより新しい 8.2 系に上げる |
| 8.1・8.0・7.4 | サポートが終わっていて、開発元の新しいバージョンは出ない | 直ったバージョン（8.2.35 以降の 8.2 系など）へ移る。サーバー会社や OS の会社が直したものを出していることがあるので聞く |
| 7.3 以前（5 系を含む） | サポートが終わっていて、開発元からは何も出ていない | 直ったバージョン（8.2.35 以降の 8.2 系など）へ移る。移れないなら、外からのアクセスを止めることも考える |
PHP のバージョンは、レンタルサーバーの管理画面で見るか、作った業者・保守している業者に聞くと分かります。
これまでの流れ
- 10月21日IPA が「事前準備のお願い」を出し、直したバージョンが出ることを前もって知らせた公式 ↗
- 10月21日開発元が、2つの脆弱性を直したバージョン（8.5.12・8.4.27・8.3.36・8.2.35）を公開公式 ↗
- 10月22日IPA と JPCERT/CC が、直ったバージョンへ上げるよう呼びかけた。この時点では、どちらも実際の攻撃を確かめたとは書いていなかった公式 ↗
- 10月23日開発元が、設定とプログラムがめったにない組み合わせのときだけ起きる別の脆弱性も公表。ふだんの更新で直すとし、それまでの設定の変え方を案内した公式 ↗
- 10月26日JPCERT/CC が追記。攻撃に使えるというプログラムが多数出回り、悪用を試みる通信の報告も相次いでいる公式 ↗
- 10月26日米国の CISA が、2つとも、実際に悪用された脆弱性の一覧に載せた公式 ↗
- 10月27日IPA が追記。CISA の一覧に載ったことを受けて、改めて更新を呼びかけた。国内の被害の例は把握していない公式 ↗
- 10月29日JPCERT/CC が追記。ある1つのファイアウォール製品が侵入されたとみられる跡と、そこから社内へ広げようとした跡が報告された。PHP を組み込んだ製品の管理者に、影響の確認と、入られていないかの調査を勧めた公式 ↗
- 11月2日IPA が追記。PHP は VPN 機器やセキュリティ機器の管理画面などにも使われているとして、製品のメーカーが出す情報を見て、更新が出たら入れるよう呼びかけた公式 ↗
公式の発表
IPAPHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)2026年11月2日 更新 ↗
CISAKnown Exploited Vulnerabilities Catalog（英語）2026年10月26日 追加 ↗
JPCERT/CCPHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起2026年10月29日 更新 ↗
The PHP Group「Informational advisory: Session upload progress」（英語）2026年10月23日 ↗
The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（英語）2026年10月21日 ↗
IPA【事前準備のお願い】PHPのセキュリティリリース公開予定について2026年10月21日 ↗
