NASTFS 日々緊急注意情報
PHPの重大な脆弱性2件：ログイン前の命令実行に緊急更新
公開・更新日: 2026-10-22
要点
PHP（ウェブサイトを動かす仕組み）で重大な弱点が公表されました。CVE-2026-109618とCVE-2026-109619の2件です。細工した通信だけで、ログイン前に命令を動かされる恐れがあります。サイトの乗っ取りや情報流出につながります。CERT-EUによる深刻度は、各9.2点／10点です。根拠は、10月21日付のPHP公式とCERT-EUの案内です。
影響する可能性がある範囲
PHPで外部からの通信を処理する構成が対象です。PHP-FPM（PHPの処理役）やApache連携を含みます。PHP 8.5.12、8.4.27、8.3.36、8.2.35で修正されています。各系統では、それより前の版に更新が必要です。OS提供元が、古い版へ修正を取り込む場合もあります。両CVEへの対応を、配布元の案内で確認してください。PHP 8.1以前は、PHP本家の通常サポートが終わっています。配布元の修正情報か、サポート中の系統への移行を確認してください。
| PHPの系統 | PHP公式の修正版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
上の番号は、PHP公式が10月21日に公開した修正版です。OS配布版は、両CVEの修正情報も確かめてください。
推奨する安全な対応
PHPまたはOSの提供元が案内する修正版を、速やかに適用してください。WordPressなどの本体更新だけでは直りません。更新後はPHPの処理を再読み込みし、実際の版と動作を確認します。更新が難しい場合は、公開範囲の制限を管理者と検討してください。設定だけの変更は、修正版への更新の代わりにはなりません。
確認した一次情報
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
