ウェブサイトを持っている方で、この2日間、自分のサイトのPHPのバージョンを確認していないという方は、今日のうちに一度チェックしてみてください。
プログラミング言語「PHP」の開発チームは21日、2件の重大な脆弱性を修正する緊急のセキュリティ更新を公開しました。悪用されれば、攻撃者がログインもパスワードもなしに、サーバー上で不正なコードを実行できてしまう恐れがあるという深刻な内容です。脆弱性には「CVE-2026-109618」と「CVE-2026-109619」の番号が付けられ、深刻度は10点満点中9.2と評価されました。セキュリティ研究者の間では、この2件を合わせて「PHP2Shell」と呼ぶ動きも広がっています。
情報が漏れ、前倒しになった公開
本来、この修正は関係者が準備を整えたうえで、静かに公開されるはずでした。ところが20日、脆弱性の詳細や実証動画とされる情報が予定より先にインターネット上へ漏れてしまいました。PHPチームは公開を21日14時（UTC）に前倒しし、「完全な回避策はない。更新こそが唯一の安全な対策だ」と異例の強い表現で呼びかけました。
詳細が公になった時点で、対応は時間との競争になります。片側では何千、何万というサーバーを更新しようとする運営者たちがいて、もう片側では、まだ更新されていないサーバーを探す攻撃者たちがいます。米クラウドフレアの最高技術責任者は21日、「初期の攻撃が現れ始めている」と明かし、セキュリティ企業のwatchTowrも、2件の脆弱性を狙う試みを観測しているとしています。もはや「理論上のリスク」とは言えない状況です。
なぜPHPの問題が「みんなの問題」になるのか
自分はPHPを書いたことがない、というサイト運営者は少なくありません。ただ、それは自分のサイトがPHPと無関係だという意味ではありません。
世界のウェブサイトの約7割はPHPで動いているとされます。WordPressも、WooCommerceも、Drupalも、MagentoもPHPの上に成り立っています。企業のホームページも、ネットショップも、学校や自治体のサイトも、ログイン処理や問い合わせフォーム、決済の裏側ではPHPが静かに働いていることが多いのです。
影響は実際に広がりました。ウィキペディアは21日に一時ダウンし、運営するウィキメディア財団は、障害が今回のPHPの脆弱性に関連していることを認めました。財団はPHPを使うすべてのシステムが影響を受けるとし、一部のシステムを予防的に停止したことも明らかにしています。欧州では政府機関のサイトが一時オフラインになる動きもありました。土台が揺れれば、その上に立つものすべてが揺れる。今回の一件は、その当たり前を改めて思い出させる出来事になりました。
修正版は4バージョン、旧版には公式修正なし
修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つが公開されています。自分が使っている系統（ブランチ）向けの最新版になっていなければ、まだ対策は完了していません。
注意が必要なのは、PHP 8.1以前を使っているケースです。これらの旧バージョンはすでにPHPプロジェクトのサポートが終了しており、公式の修正版は提供されません。一部のホスティング事業者や配布元が独自の修正を用意する可能性はありますが、運営者はこの機会に、パッチを待つだけではなく、対応版への移行そのものを事業者に相談した方がよさそうです。
確認方法は難しくありません。多くのレンタルサーバーでは管理画面の「PHP設定」などでバージョンが表示されます。サーバー管理者であれば、コマンドラインで「php -v」と打つだけです。そして更新後に忘れがちなのが、ウェブサーバーとPHP-FPMの再起動です。再起動しなければ、古いバージョンがメモリ上で動き続けてしまうことがあります。
今日中に確認したい5つのこと
慌てる必要はありませんが、先延ばしはしないでください。まず（1）今日のうちにPHPのバージョンを確認する、（2）自分の系統向けの修正版に更新する、（3）更新後にPHPとウェブサーバーを再起動し、バージョンを再確認する、（4）共用ホスティングを使っている場合は事業者に「CVE-2026-109618とCVE-2026-109619に対応済みか」と一言問い合わせる、そして（5）見覚えのない管理者アカウントやアップロードした覚えのないファイル、不自然なリダイレクトがないか目を通す。この5つです。不審な点があれば、単なる更新の問題ではなく、すでに侵入されている可能性も視野に入れて対応してください。事業で使っているサイトなら、更新前に新しいバックアップを取っておくこともおすすめします。
PHP 8.6は11月19日、でも新機能より先に修正を
皮肉なことに、この緊急事態は、PHPにとって本来は大きな発表の季節の真っただ中に起きました。次期メジャーバージョン「PHP 8.6」は最終テストの段階にあり、正式公開は11月19日の予定です。そのテスト版には今回の修正も含まれていますが、開発チームは、テスト版を本番サイトで使うことを推奨していません。逃げるために不安定な版へ飛び移るのではなく、まず今使っている安定版を修正する。それが正しい順番です。
新機能は待てますが、安全対策は待てません。PHPは30年以上にわたり、巨大なコミュニティに支えられてきました。今週の出来事は、インターネットがいかにその地道な維持作業に依存しているかを証明しました。ただ、修正プログラムは、インストールした人のサイトしか守ってくれません。
だからこそ、確認は今日中に。明日ではなく、今日のうちにどうぞ。
（著者：Mubashir）
▼関連記事
第一報については「PHPに重大な脆弱性、米FBIが緊急警告 高市首相も修正プログラムの適用を呼びかけ」 https://jpnewshub.online/archives/4836、サイバー攻撃への政府の警戒については「AI悪用のサイバー攻撃に政府が危機感 『一晩で日本中に被害』の懸念、チームみらいも緊急提言」 https://jpnewshub.online/archives/4883もご覧ください。
