PHP、深刻な脆弱性2件の緊急セキュリティパッチを予告

今日の運勢を読むために、ページのアドレスを開く場面を考えてみてください。何も入力しなくても、ブラウザーはサーバーに「このページを見せて」という要求を送り、サーバーは要求に応じた内容を返します。投稿フォームやアップロード欄は、要求を送るいくつもの方法の一つです。ブラウザーとサーバーの要求・応答

画面の裏で要求を処理するコンピューターがサーバーです。PHPを使うサイトでは、PHPで書かれたプログラムを実行してページを作れます。ブラウザーが受け取るのは、多くの場合HTML、つまり文章や画面の構成を含む文書です。PHPはサーバーで働き、ブラウザーはその結果を表示します。PHP公式の入門説明

普段もサーバーは利用者の要求を受け取ります。ただし「この投稿を見せて」のように、開発者があらかじめ用意した機能の中で処理します。

リモートコード実行は、別のコンピューターから攻撃者が送ったコード、つまりプログラムの命令をサーバーに実行させる問題です。お客さんが用意されたメニューから料理を選ぶことと、お客さんが厨房の作業指示まで書き換えることを思い浮かべてみてください。

RCEの被害は、その命令を実行するアカウントが何を読み、変更し、どこへ接続できるかで変わります。サーバー全体を管理する権限まで自動的についてくるわけではありません。脆弱性の分類を管理するMITREによるコード実行の影響解説

次の表は、架空の問い合わせサイトを使って一般的な被害を示した例です。今回のPHP脆弱性で実際に起きた事例でも、私のサイトに保存された情報や私のサイトで起きたことでもありません。

MITREの攻撃手法の分類でも、サーバーのファイル・データベースからの情報収集と、外部向けサイトの内容変更は分けて扱われています。前者はトップページが普段どおりに見えても起こり得て、後者は閲覧者の目にすぐ触れます。情報収集の説明・外部サイト改ざんの説明

「うちのサーバーもPHPを使っているけれど、対象かな」。取材時点のPHP公式告知には、影響バージョンと修正バージョンがまだ載っていませんでした。PHPを使っているという事実だけでは、自分の環境が影響を受けるかどうかは決まりません。

今知っておきたいのは、サービスがPHPを使っているか、使っているならどのバージョンかです。そうすれば、詳細が公開されたときに対象一覧と比べられます。9.2は深刻度の点数で、自分のサーバーが攻撃される確率ではありません。CVSS公式説明

日本で情報セキュリティ対応を案内する公的機関IPA（情報処理推進機構）は、EU機関のサイバーセキュリティ対応を担うCERT-EUの注意喚起も紹介しています。CERT-EUは他の情報源に基づき、識別番号CVE-2026-109618・CVE-2026-109619と、PHP 5以降に影響する可能性を伝えています。IPA自身も、詳細な影響・修正バージョンはまだ確認できていないとしています。影響が広い可能性を示す警告で、自分のサーバーの影響条件は公式の詳細が出てから決まります。IPAの案内・CERT-EUの注意喚起

コードが分からなくても、運営者が前もってまとめておけることは三つあります。サービス名、PHPの利用有無とバージョン、更新担当者です。ホスティング会社に任せているサイトなら、自分でコードを直す必要はなく、担当会社にこの三つを尋ねれば済みます。編集部がまとめた質問は次のとおりです。

このサービスはPHPを使っていますか？ 現在のバージョンは何で、今回のセキュリティ更新は誰が確認し、適用しますか？

公開予定は10月21日23時JST/KSTです。PHPチームは、詳細の先行公開や悪用の証拠があれば前倒しする可能性も示しています。実際の公開と、自分のバージョン向けの修正情報を見てから、適用・点検に進む順番です。

PHP自体の動作を定めるプログラム、つまりソースコードは、公式GitHubリポジトリphp/php-srcで公開されています。開発者はコードや変更履歴を読めますし、攻撃者も公開された内容を読めます。ただし、PHPの脆弱性報告の方針では、報告は公表まで非公開で扱うとしています。リポジトリが公開されていても、今回のセキュリティ修正は公開時刻まで非公開で扱われるということです。PHP公式コード・脆弱性報告の方針

Microsoftのブラウザー研究チームは、公開された修正を調べ、まだ更新が届いていない環境を狙う事例を説明しています。PHPとは別の事例で、修正の公開から実際の適用までの隙間がなぜ危ないのかを示しています。公開と適用の間のリスク

一般的な流れ：修正内容の公開 → 弱い処理の手掛かりを分析 → 条件が合う未適用環境への攻撃が試みられる可能性

IPAも10月21日に事前準備を呼び掛けました。可能な範囲でPHPの利用状況を把握し、修正が公開されたらすぐ適用できるよう備えるという内容です。同じ案内でIPAは、この2件を悪用した攻撃を現時点で確認していないと明記しています。IPAの事前準備のお願い

ブログやネットショップに使われるWordPressも、PHPで動いています。PHPはホスティング先のサーバーで管理するため、WordPress本体やプラグインを更新しただけで、PHPの修正まで入ったとはいえません。WordPress公式案内

管理画面のツール → サイトヘルス → 情報 → サーバー → PHPバージョンで、使用中のバージョンを見られます。情報を表示するだけの画面なので、設定は変わりません。メニューが見つからなければ、サイト管理者やホスティング会社に問い合わせます。サイトヘルスの案内 · PHPバージョン欄を作るWordPressのコード

次は、運営者から記事への利用許可を得た実際のWordPress管理画面です。「PHP の更新が必要です」という警告に、PHP 7.4.33を実行していると表示されています。ブラウザーのタブやWordPress本体の番号ではなく、警告内の PHP (7.4.33) を読みます。

PHPプロジェクトによるPHP 7.4の公式サポートは、2022年11月28日に終了しています。サポート中のバージョンへ移る準備が必要な例です。ただし、ホスティング会社が独自の延長セキュリティサポートで修正を提供する場合もあるため、画面のバージョン番号だけでは会社側が修正を当てたかどうかまでは判断できません。PHP公式のサポート終了一覧

Cloudwaysは10月21日18:16 JST、今回の件で暫定的な緩和策を進めていて、旧版は延長サポート（ELTS）のパートナーと対応すると公表しました。個別サーバーへの最終パッチ適用が済んだという告知ではありません。Cloudwaysの対応告知

WordPress.comは、必要なPHP更新を代わりに行うと案内しています。今回のセキュリティ修正が当たったかどうかは、この一般的な方針よりも、今回の告知についての提供元の案内やサポートの回答から分かります。WordPress.comのサーバー設定案内

ホスティング会社への質問は、次のようにまとめられます。

このサイトのPHPバージョンと、今回の告知による影響の有無を確認してください。修正版が提供されたら、誰がいつ適用しますか。適用後のバージョンと動作確認の結果も教えてください。

適用前にはサイトのファイル・データベースのバックアップと復旧方法を用意し、WordPress・テーマ・プラグインの更新状況とPHPとの互換性を調べます。古い構成要素は新しいPHPで動かなくなる場合があります。サイトのバックアップを戻してもサーバーのPHPまでは戻らないため、問題が起きたときの対応も会社と決めておきます。WordPressの更新案内