# PHPに重大な脆弱性。自社サイトのサーバーも確認を

Canonical: https://security.qutori.jp/article/php-core-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本サイト確認日: 2026-10-24

PHPの2件の脆弱性は、認証なしでサーバー上のコードを実行されるおそれがあります。修正版が公開済み。23日には、特殊な設定に関係する別の脆弱性への暫定対策も追記されました。

日本語要約・編集：バグマゲドン対策委員会。本記事公開・確認：2026-10-24。

原文発行：CERT-EU / 原文公表：2026-10-20 / 原文更新：2026-10-23。

## 対象と影響

自社でPHPを管理していなくても、ホームページ、予約・受注システム、PHPを内蔵する製品が対象になり得ます。保守会社・ホスティング会社への確認が必要です。

## 自社で確認すること

保守担当へ、PHPの利用箇所と修正適用状況を確認する。

1. PHP本体とPHPを内蔵する製品を棚卸しする。
2. 提供元の修正版を適用し、反映を確認する。更新できない公開システムは隔離を検討する。
3. 23日追記の別脆弱性も含め、CERT-EUとPHP公式の最新手順を保守担当と確認する。

## 攻撃の流れと防御の確認箇所

公開Webサイト → 未修正のPHP → サーバー内で不正実行 → 情報・業務への影響

防御の確認箇所：公開サーバーの修正適用

## 優先度の考え方

至急確認。認証不要の遠隔コード実行につながるため。2件の公式CVSSは9.2。該当環境の有無で優先度は変わる。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-109618](https://www.cve.org/CVERecord?id=CVE-2026-109618)
- [CVE-2026-109619](https://www.cve.org/CVERecord?id=CVE-2026-109619)
- [CVE-2026-115560](https://www.cve.org/CVERecord?id=CVE-2026-115560)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

PHPを使うWeb環境。個別の国別被害件数は示していない。

## 原文と確認箇所

- [CERT-EU — Critical Vulnerabilities in PHP](https://www.cert.europa.eu/publications/security-advisories/2026-018)
- [追加の一次資料](https://www.ic3.gov/PSA/2026/PSA261023)

CERT-EU本文のHistory、Summary、Affected Products、Recommendationsを確認。10/20初版、10/23改訂。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)