PHPの重大な脆弱性2件、緊急パッチを公開へ

PHPのセキュリティチームは、Webエコシステム全体に向けて緊急の警告を発しました。メンテナーは、2つの深刻な脆弱性を修正するため、2026年10月21日（水）14:00（UTC）に臨時アップデートを公開する予定です。公式は詳細な技術情報を伏せていますが、初期の報告ではリモートコード実行の危険性が指摘されています。さらに、デフォルト設定のシステムは、認証なしの攻撃に対して直接的に脆弱な状態だといいます。

リリースまで技術的詳細を非公開に

メンテナーによると、Web管理者はセキュリティアップデートが公開され次第、直ちに適用する必要があります。PHPの公式セキュリティアドバイザリで告知されたとおり、開発者は影響を受けるバージョン番号とパッチの差分を速やかに公開する方針です。ただし同組織は、情報の早期流出や実際の悪用が確認された場合、直ちに緊急リリースへ切り替える可能性があると警告しています。

深刻度の指標と対象外となる旧ブランチ

セキュリティ追跡機関は、これらの問題をCVE-2026-109618およびCVE-2026-109619として登録しました。両脆弱性とも、CVSSスコアは9.2という極めて高い深刻度です。重要なのは、今回の保守計画の対象がサポート中のPHP 8系ブランチのみである点です。そのため、PHP 5.6やPHP 7.xを使い続けている旧環境には、公式の修正は一切提供されません。

自動化された攻撃の波に備える

PHPは現在、世界のデジタルインフラの広範な領域を支えています。この普及度の高さゆえに、機会を狙う攻撃者にとって巨大な攻撃対象領域が生まれています。インターネットのスキャン調査によると、公開されている150万台のホストのうち、約59.4%が依然としてサポート切れの旧バージョンで稼働しています。公式パッチが公開されれば、攻撃者はすぐにコードの変更点をリバースエンジニアリングするとみられます。

事前の防御強化とメンテナンス時間の確保

その後は、パッチ未適用のWebサーバーが数時間以内に、自動化された深刻な侵入被害を受ける恐れがあります。セキュリティアナリストは、夜間に予定されるリリース枠を細心の注意で見守るよう推奨しています。管理者は直ちにメンテナンス期間を設定し、公開されるパッチを遅滞なく適用してください。即時のパッチ適用が難しい場合は、脆弱なインスタンスを一時的にオフラインにすることも検討すべきです。