【緊急】PHPの重大脆弱性「CVE-2026-109618 / CVE-2026-109619」発見！WordPress・Laravelへの影響と対策

こんにちは。株式会社オレンジソフトウェアの藤田です。

最近、サイバー攻撃や脆弱性発見のニュースを目にすることが多くて、正直、嫌になりますね。システムを開発・運用する立場としては、そのたびに「うちで管理している環境は大丈夫か」と気になります。

しかも、こういう重大な脆弱性の話は、金曜日に限って飛び込んでくる気がするんですよね。「そろそろ週末だ」と思ったところに、緊急対応のお知らせが……。もちろん、あくまで個人の感想です。今回が金曜日というわけではありません（笑）。

今回のPHPの件も、かなり重大で、影響が広い範囲に及ぶ可能性があるようです。詳しい情報を確認しながら、私たちもしっかり対応していきたいと思っています。

さて、ここからは真面目な話です。

今回は、WordPressなどのホームページや、Laravelなどで構築された業務システムを運用されている企業の皆様に、確認していただきたいセキュリティ情報をお伝えします。

PHPの重大な脆弱性について、修正版の公開が予告されました

PHP Security Teamは、公式サイト上の2026年10月20日付の告知で、重大な脆弱性2件に対応するセキュリティ修正版の公開を予告しました。

公式発表によると、いずれも脆弱性の深刻度を示す CVSS v4.0スコアは9.2（Critical） とされています。修正版の公開予定は、日本時間の2026年10月21日23時です。ただし、状況によって公開が前倒しされる可能性もあります。PHP公式発表

また、CERT-EUは、関連する脆弱性として次の2件を挙げています。

CVE-2026-109618
CVE-2026-109619

CERT-EUの注意喚起では、リモートコード実行（RCE）につながる可能性が指摘されています。ただし、PHP公式の事前告知にはCVE番号や具体的な攻撃条件は記載されていません。公式に確認できる情報と、外部機関による情報を分けて捉える必要があります。CERT-EUの注意喚起

WordPressやLaravelを利用している企業にも関係する情報です

PHPと聞いても、一般の方にはあまり馴染みがないかもしれません。しかし、多くのホームページやWebサービスの裏側で利用されています。

代表的なものが、ホームページ管理システムの WordPress（ワードプレス） です。

W3Techsの調査によると、2026年10月21日時点で、調査対象のWebサイト全体の39.6%、約4割がWordPressを使用しています。CMSが判明しているサイトに限ると、その割合は58.3%です。W3Techsの利用統計

PHPは、次のようなシステムでも利用されています。

WordPress：企業ホームページ、ブログ、ECサイトなど
Laravel：業務システム、顧客管理システム、予約システム、各種Webサービスなど
EC-CUBE：ECサイト、ネットショップなど
Drupal：企業サイトや大規模Webサイトなど

そのため、PHPのセキュリティ情報は、ホームページだけでなく、社内の業務システムや顧客向けサービスを運用する企業にとっても重要です。

ただし、WordPressやLaravelを利用しているだけで、今回の脆弱性の影響を受けると確定するわけではありません。 影響の有無は、今後公開される公式情報と、利用中のPHPのバージョンや構成を照合して確認する必要があります。

また、PHPはWordPress本体やプラグインとは別に管理されている場合があります。WordPressの管理画面で更新を済ませていても、サーバー側のPHPへの対応が完了しているとは限りません。

現時点で、どのような危険性が指摘されているのでしょうか

CERT-EUは、今回の脆弱性について、外部からサーバー上でコードを実行される「リモートコード実行（RCE）」につながる可能性に言及しています。CERT-EUの注意喚起

一般に、RCEが成立すると、実行権限やサーバーの構成によって、次のような被害につながるおそれがあります。

Webサイトの改ざん
顧客情報や機密情報の漏えい
不正なプログラムの設置
データベース接続情報の窃取
他のシステムへの攻撃の踏み台としての悪用

これらは一般的な被害例であり、今回の脆弱性によって、これらの被害が実際に発生したことを示すものではありません。

本記事で確認したPHP公式の事前告知では、詳細、影響を受けるバージョン、修正済みバージョンは、修正版の公開時に発表するとされています。 現段階で、すべてのPHP環境が同じ条件で攻撃を受けると断定することはできません。PHP公式発表

今から準備し、公開後に速やかに対応できるようにしましょう

PHP Security Teamは、修正版が公開され次第アップデートできるよう、事前の準備を呼びかけています。PHP Security Teamの告知

企業の担当者の方は、まずサーバーの管理者や保守会社と連携し、次の準備を進めてください。

PHPを利用しているWebサイトや業務システムを把握する
利用中のPHPのバージョンと、更新を担当する人・会社を確認する
必要なバックアップを取得し、復旧手順を確認する
修正版公開後、公式情報や提供事業者の案内から影響と対応方法を確認する
対象環境に修正版を適用し、主要な機能が正常に動作することを確認する

レンタルサーバーや運用代行サービスを利用している場合は、提供事業者に、影響の有無、修正版の適用予定、自社で必要な作業を確認しましょう。

OSやホスティング事業者がPHPを提供している環境では、その提供元のセキュリティ更新や案内に沿って対応することも重要です。

更新時には、表示だけでなく、ログイン、問い合わせフォーム、予約、決済など、業務に必要な機能の動作も確認してください。

修正版をすぐに適用できない場合は、管理者と相談し、公開範囲の制限や一時的な公開停止なども検討する必要があります。CERT-EUも、迅速な修正が難しい場合には、インターネットに公開しているアプリケーションの隔離を検討するよう勧告しています。CERT-EUの対応勧告

ログ監視なども運用上は重要ですが、それだけで今回の脆弱性への対策が完了するわけではありません。

正常に表示されていても、安全とは限りません

今回、特にお伝えしたいのは、ホームページが普段どおり表示されていることと、安全な状態であることは別だという点です。

WordPressの管理画面やホームページの表示は確認していても、サーバー側のPHPの管理までは把握できていないケースがあります。

まずは「誰がサーバーを管理しているのか」「PHPの更新は誰が担当するのか」を確認しておくだけでも、緊急時の対応を進めやすくなります。

Webサイトや業務システムは、公開したら終わりではありません。PHPやOS、フレームワークなど、システム全体を継続して保守することが重要です。

お困りの場合はご相談ください

株式会社オレンジソフトウェアでは、Webシステムの開発だけでなく、サーバーやネットワークを含めたシステム全体の安全性を重視しています。

「利用中のPHPのバージョンが分からない」「どこに確認すればよいか分からない」「古いシステムのため、更新による影響が心配」といった場合は、まず管理状況や構成を確認することから始めましょう。

Webサイトや業務システムの保守・セキュリティ対応についてお困りの際は、株式会社オレンジソフトウェアまでお気軽にご相談ください。

株式会社オレンジソフトウェア
藤田

参考情報

※本記事は、2026年10月21日に確認した修正版公開前の情報をもとに作成しています。影響範囲や対応方法は、今後の発表によって明らかになる場合があります。最新情報は、PHP公式および利用中のサーバー・OSの提供元でご確認ください。

免責事項

本記事は、インターネット上で公開されている情報を収集・整理したものです。PHP公式やセキュリティ機関など、できる限り信頼できる情報源を参照していますが、内容に誤りや不足が含まれる可能性があり、正確性・完全性・最新性を保証するものではありません。また、公開後の追加発表や訂正によって、内容が変わる場合があります。

本記事の情報を利用される際は、記載した参考リンクや公式サイト、利用中のサービス提供元の案内をご確認のうえ、ご自身の環境に当てはまるかどうかを含め、ご自身の判断と責任でご対応ください。

本記事の情報の利用、または本記事をもとに行った判断・作業によって生じた損害やトラブルについて、株式会社オレンジソフトウェアおよび執筆者は、法令上認められる範囲で責任を負いかねます。あらかじめご了承ください。