本日、PHPの重大なセキュリティリリースが公開予定です。更新の準備を

PHPセキュリティチームは、2026年10月21日（水）14:00 UTCに緊急のセキュリティリリースを実施すると発表しました。このリリースでは2件の脆弱性を修正します。いずれもCVSS v4.0で9.2（Critical）と評価されています。

告知では、脆弱性の内容や影響を受けるPHPのバージョンはまだ明らかにされていません。これらの詳細は、修正版のバージョン番号とともに、リリース時に公開される予定です。それまでは、管理者は運用しているすべてのPHP環境が影響を受ける可能性があると想定しておく必要があります。

チームによると、どちらかの脆弱性の詳細が公になった場合や、攻撃者による悪用が確認された場合は、予定より早くリリースする可能性があります。PHPサーバーを管理する担当者には、更新をすぐに適用できるよう「今すぐ準備する」ことが呼びかけられています。

リリース前に行うべきこと

• Webサーバー、コンテナ、CIイメージ、開発用マシンなど、PHPを稼働させている場所を洗い出し、それぞれのバージョンを記録する。
• 更新の担当者を確認する。マネージドホスティングや共有ホスティングでは、PHPの更新はプロバイダーが適用するため、今回の更新をいつ展開する予定か問い合わせる。自社運用のサーバーでは、14:00 UTCの直後にメンテナンス時間を確保する。
• サポート対象外のバージョンがないか確認する。セキュリティ修正は通常、サポート対象のブランチ（現在はPHP 8.2から8.5まで）にのみ提供される。それより古いバージョンを使っているサイトは、ブランチのアップグレードが必要になる場合がある。
• WordPressサイトでは、「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できる。

翻訳元: https://www.helpnetsecurity.com/2026/10/21/php-security-release-announcement-october-2026/