2026/10/22 時点の情報です
PHP の重要な修正版（2026年10月21日公開）
対象になる環境と確認のしかた
PHP の開発チームは 2026年10月21日、2 件の脆弱性（CVE-2026-109618 / CVE-2026-109619、深刻度 9.2（CVSS v4.0））を修正した 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 を公開しました。一次情報はphp.net の ChangeLogで、経緯はpiyolog のまとめが詳しいです。WordPress やプラグインの更新では直らず、サーバーの PHP 本体を修正版に上げたときだけ直ります。
大手のレンタルサーバー（さくら、エックスサーバー、ロリポップなど）で PHP 8.2 以上を使っている方は、事業者が 10/22 の朝までに 修正版を当て終えているので、このページはここで閉じて大丈夫です。サーバーを管理している人や会社から「当てた」と連絡があった方、 そもそも PHP を使っていない方（静的なサイトや、Wix・Shopify・STUDIO のようなサービス）も同じです。
確認が要るのは、PHP 8.1 以前で動いている（この系列には修正版が出ません）、VPS や自社サーバーで自分たちが更新する、誰が管理しているか分からない、のどれかに当たるサイトです。下で状況を選ぶと、やることが出ます。
どこで動いているサイトですか
何も入力しなくても答えが出ます。分からない項目はそのままで構いません。
まず「どこで動いているか」を確かめてください。請求書か契約メールにサーバー会社の名前があります
- サーバー代の請求書・契約メール・ドメインの管理画面を探す。会社名が分かれば上の選択肢で選び直してください。
- WordPress なら、管理画面 → ツール → サイトヘルス → 情報 → サーバー に PHP の版が出ます。
- 誰が管理しているか分からないサイトは、今回の件に限らず止まったときに誰も直せません。管理者を 1 人決めるのが先です。
PHP の版が分からないときは、URL から外から見てみる
サイトの応答ヘッダーに PHP の版が出ていれば、その場で読み取ります。出ていなければ、中から確かめる方法を書きます。 トップページを 1 回取得するだけで、攻撃的な検査はしませんし、入れた URL は保存しません。
Spoon Tools! を運営している
について
このページを書いているのは、東京のモルドスプーン株式会社です。2010 年に設立して、Web とアプリの受託開発、 AWS の構築と保守を本業にしています。そのかたわらで、文字化けの復元や名刺の作成のような無料の Web ツールを131 個、「Spoon Tools!」として自社で企画して公開しています。このページもその 1 つです。
代表の田中は 2007 年からこの仕事をしていて、19 年目になります。 保険会社の Web 申し込みと代理店管理のシステムを 5 人のチームで作ったり、鉄道会社の MaaS アプリを 20 人規模のプロジェクトで PM として進めたり、製造業の会社で社長直下の開発部門として基幹システムを設計から保守まで持ったりしてきました。 最近は、SaaS を古い CodeIgniter 3 から AWS と Laravel に載せ替える仕事を、技術の選定からインフラまで引き受けています。 テーマパークの館内アプリを途中から引き継いで納品し、そのあと安定して動く品質までコードを立て直した、という仕事もありました。
今回の件では、修正版が出た 10/21 の夜に、サポートの切れた PHP 7.4 と CakePHP 2 で動いていた本番を 8.3 へ移しました。 何をして、どこでつまずいたかはそのまま記事にしてあります。 資格は IPA のプロジェクトマネージャとシステムアーキテクト、情報処理安全確保支援士試験に合格しています。
自分で対応できないときに、頼めること
今回の件は、まず調査 3 万円〜で現状を確かめて、その結果で作業の金額を決めます。決めた金額を途中で増やすことはしません。 調べてみて「これは自社で対応できる」と分かれば、そうお伝えして終わりです。やっているのは次の 3 つです。
緊急更新（PHP を修正版へ）
VPS・クラウド・自社サーバーで動いていて、社内に手を動かせる人がいない、というときの作業です。現状の確認（PHP の版・SAPI・OS・動いているアプリ）、緩和策の適用（更新までの間）、修正版への更新と再起動、更新後の動作確認、やったことの記録を 1 枚でお渡し、までを行います。調査 3 万円〜。現状の確認の結果で更新作業の金額を確定し、以後は増やしません。着手はご連絡から当日〜翌営業日。
サポート終了版からのバージョンアップ
PHP 7.x・8.0・8.1 で動いていて、修正版が存在しない、というときの作業です。互換性の調査（非推奨関数・古いライブラリ・拡張）、検証環境での先行適用と動作確認の手順作り、WordPress はプラグイン・テーマの対応確認、Laravel は段数に応じた段階的な更新、本番への適用と、適用後 1 週間の問い合わせ対応、までを行います。調査 3 万円〜。互換性の調査結果でバージョンアップ作業の金額を確定し、以後は増やしません。着手は規模による。最初の調査結果と見積もりは 2〜3 営業日。
更新したらサイトが壊れた
サーバー会社が PHP を上げた後、表示崩れ・500 エラー・フォームが動かない、というときの作業です。エラーログからの原因の特定、テーマ・プラグイン・独自コードの修正、または置き換え、元の版へ戻すべきかの判断（戻すと脆弱なままになるので原則は直す）、までを行います。調査 3 万円〜。原因が分かった時点で修正の金額を確定し、以後は増やしません。着手は原因の特定まで当日〜翌営業日。
相談のリンクは、上で選んだ状況と確認の結果を本文に入れた状態でお問い合わせを開きます。こちらから営業の連絡をすることはありません。料金は税別です。
今回の脆弱性について（2026/10/22 時点）
2 件とも、ログインしていない相手からのリクエストで PHP の内部状態を壊し、サーバー上でプログラムを実行できる種類のものです（通称 php2shell）。 Web のリクエストを処理する PHP はすべて対象で（PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed）、Apache に組み込む mod_php が最も影響が大きいとされています。アプリのコードが動く前の段階で成立するためです。 悪用を試みるコードは公開されていて、攻撃の試行も観測されています。
国内では 10/21 から 22 日にかけて、200 を超える組織が予防的にサイトやサービスを止めました。 大手レンタルサーバーは 22 日の朝までに 8.2〜8.5 の修正を当て終えています。 一方で、サポートが終わった 8.1 以前は事業者側でも直せないので、「利用者が自分で 8.3 以上に切り替えてください」という案内になっています。 Zenlogic のように、古い版を事業者側で更新して「表示が崩れたら利用者が直す」と告知しているところもあります。
系列ごとの状態
| 系列 | 修正版 | 状態 |
|---|---|---|
| 8.5 | 8.5.12 | この版以上に上げれば塞がる |
| 8.4 | 8.4.27 | この版以上に上げれば塞がる |
| 8.3 | 8.3.36 | この版以上に上げれば塞がる |
| 8.2 | 8.2.35 | この版以上に上げれば塞がる。ただし 8.2 は 2026/12/31 でサポート終了 |
| 7.4 | なし | 最小限のソースパッチのみ。実質、バージョンアップが必要 |
| 8.0 | なし | 最小限のソースパッチのみ。実質、バージョンアップが必要 |
| 8.1 | なし | 最小限のソースパッチのみ。実質、バージョンアップが必要 |
| 7.3 以前 | なし | パッチもなし。今回に限らず直らない |
すぐ更新できないときの緩和策
更新だけが完全な対策で、以下は攻撃経路を減らすだけです。やったら必ず全ワーカー（php-fpm / Apache）を再起動してください。
session.upload_progress.enabled=0（php.ini または FPM のプール設定で）memory_limit=-1を、アプリから上書きできない形で（php_admin_value）post_max_sizeを小さく。アップロードを使わないなら 8M、使うなら 32M 程度。Web サーバーやプロキシ側でもリクエストサイズに上限を付ける- PHP 8.5 では
fatal_error_backtraces=0も - コンテナや cgroup のメモリ制限は緩和策にならない。RLIMIT_AS / RLIMIT_DATA は使わない
関連する期限のチェック
出典: PHP 公式の告知と ChangeLog、piyolog のまとめ、 各レンタルサーバー事業者の告知。2026/10/22 に確認した内容で、以後の進展は反映されていないことがあります。 正確な情報は各公式サイトでご確認ください。URL からの確認はサイトが公開しているヘッダーに基づくもので、実際に動いている版と異なる場合があります。