2026年10月21日、高市早苗内閣総理大臣は自身の公式Xアカウントで、PHPに関する重大な脆弱性について緊急の注意喚起を投稿した。
投稿では「皆様に、今夜に対応して頂きたい大至急のお願いです」と呼びかけ、PHPのセキュリティチームが重大な2件の脆弱性について注意喚起を行っていると伝えた。
具体的には、公開しているウェブサイトでPHPを使用しているかを確認し、今夜10月21日午後11時（日本時間）に公開される修正パッチを、可及的速やかに適用できるよう準備してほしいと要請。
速やかな適用が難しい場合は、ウェブサイトなどを一時的に停止させることもリスク低減の有効策の一つだと指摘した。国家サイバー統括室のXアカウントでも関連情報が発信されているとして、あわせて参照するよう案内している。
脆弱性の概要と深刻度
PHPのセキュリティチームは10月20日、重大な脆弱性2件に対処する修正版を、21日午後11時（日本時間、UTC14時）に公開すると予告した。2件とも深刻度はCVSS v4.0で9.2（緊急）。詳細が事前に公表された場合や、実際の悪用が確認された場合は、公開が前倒しされる可能性もあるという。
脆弱性の識別番号はCVE-2026-109618とCVE-2026-109619。欧州のCERT-EUが注意喚起で示したもので、PHP側の事前告知ではCVE番号は示されていない。CERT-EUは認証なしでの任意のコード実行（RCE）につながるおそれがあるとし、PHP 5以降が影響を受けるとしている。一部では「PHP2Shell」とも呼ばれている。
ただし、影響を受けるバージョンや修正版の番号は、PHP側から正式には発表されておらず、リリース時に公表される見込みだ。「PHP 5以降」はCERT-EUの評価で、公式に確定した情報ではない。
IPA（情報処理推進機構）も同日、事前準備を求める注意喚起を公開した。IPAは現時点で悪用した攻撃は確認していないとしつつ、サポートが終了した古いPHPを使い続けるサイトもあり、攻撃者が修正版の公開後に極めて短時間で攻撃を仕掛ける可能性があるとして、迅速な対応を求めている。
サイト運営者・開発者が今すべきこと
・自社サイトやサービスでPHPを使用しているか確認する
・修正版の公開後、速やかに適用できる体制を整える（ホスティング業者への確認も含む）
・すぐに対応が難しい場合は、一時的なサイト停止やアクセス制限を検討する
・国家サイバー統括室やIPA、PHP公式の情報を継続的に確認する
PHPはウェブサイトだけでなく、ソフトウェア製品やネットワーク機器の内部で使われている場合もある。IPAは、こうした製品についても開発元・提供元のセキュリティ情報を確認するよう求めている。ただし、利用中のすべての製品を個別に調べることまでは求めていない。
人気記事