「PHPの脆弱性」というニュースを見ても、自社のサイトがPHPを使っているか分からない。制作会社に任せていて、誰に何を聞けばよいかも分からない。そんな場合は、技術用語を調べるより、まず自社のサイトやWebサービスで使っているPHPが、今回の修正を受けているかを確認することが大切です。
2026年10月21日、PHP本体の重大な脆弱性が2件公表されました。条件がそろうと、ログインしていない第三者が、PHPの実行権限で不正なコードを動かせるおそれがあります。ただし、PHPを使っていることと、すでに攻撃を受けたことは同じではありません。必要なのは、自社の環境を確かめ、未対応なら修正を進めることです。
今回の脆弱性で、何が問題になっているのか
今回公表されたのは、CVE-2026-109618とCVE-2026-109619というPHP本体の問題です。どちらも、一定の条件下で不正なコードの実行につながる可能性があります。攻撃の試みも観測されていますが、それだけで個々の企業のサイトが侵害されたとは言えません。［PHP公式／AWSの観測報告］
確認が必要なのは、ホームページだけではありません。PHPで動くWordPressサイト、予約・会員・受発注などのWebサービス、外部システムとつながるAPIも対象になり得ます。WordPress自体を更新していても、サーバー側で動くPHPが未修正なら、今回のPHP本体の問題への対応は終わっていません。［PHP公式／WordPressの動作要件］
経営者が最初に確認すべき3つのこと
1. 自社のどのサイト・WebサービスでPHPを使っているか
会社のホームページに加え、予約画面、顧客向けマイページ、ネットショップ、取引先向けシステムなど、外部から利用できるものを挙げます。自社で分からなければ、サーバー会社、制作会社、開発・保守会社に聞いてください。契約書や毎月の請求書から、連絡先が分かることもあります。
「URLを無料チェックツールに入れたらPHPが見つからなかった」という結果だけでは、使っていないと断定できません。サイトの外側からPHPのバージョンが見えない環境もあります。
2. 実際に動いているPHPに、修正が適用されているか
PHP公式が示す修正済みのバージョンは、8.2.35、8.3.36、8.4.27、8.5.12です。一方、サーバー会社やOSの提供元が、古いバージョン番号のまま修正を取り込む場合もあります。そのため、数字だけで決めず、実際にWebサイトを動かしているPHPと、提供元の修正情報を照らし合わせる必要があります。PHP 8.1以前を使っている場合は、今後の運用も含めて対応方針を確認してください。［PHP公式／JPCERT/CC］
3. 未対応なら、誰が更新し、何を動作確認するか
サーバー会社がPHPを管理していても、更新後にサイトの機能が正しく動くかは、別の担当者が確認することがあります。制作会社・開発会社・保守会社のどこが作業するかを決め、バックアップや更新前の確認も相談しましょう。
確認したいのはトップページの表示だけではありません。問い合わせフォーム、予約、ログイン、注文・決済、他システムとの連携など、売上や顧客対応に関わる機能を優先してください。
そのまま送れる確認文
サーバー会社や制作会社に、次の文面を送れば、最初の確認を始められます。
2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、当社のサイト・WebサービスでPHPを使用しているか確認をお願いします。使用している場合、実際に稼働しているPHPのバージョン、今回の修正の適用状況、未対応の場合の対応予定を教えてください。提供元が修正を取り込んだ古いバージョンを使用している場合は、その根拠となる案内も共有してください。更新が必要な場合は、作業担当と、更新後に確認すべき主要機能も教えてください。
連絡先も管理画面も分からない場合は、分かる範囲の情報だけで構いません。まずサイトやWebサービスのURLと、契約している会社名を整理してください。パスワードや秘密鍵をメール・問い合わせフォームに書く必要はありません。
よくある疑問
Q. サイトは普通に動いています。対応は不要ですか？
A. 通常どおり表示されることは、PHPに修正が適用されている証拠にはなりません。稼働環境と提供元の対応状況を確認してください。
Q. WordPressを最新版にしました。これで十分ですか？
A. WordPress本体と、その下で動くPHPは別です。PHPの修正状況も確認してください。
Q. 脆弱性に該当すると分かれば、情報漏えいが起きたということですか？
A. いいえ。脆弱性の有無と、実際に侵害されたかどうかは別の調査です。不審な動きがある場合は、ログや証拠を保全し、侵害調査を相談してください。JPCERT/CCは、痕跡が見つからなくても攻撃を受けていないと断定できないと注意しています。［JPCERT/CC］
PHPが分からなくても、最初の確認から相談できます
Rabilooでは、PHPのバージョンと稼働環境の初期確認を無料で受け付けています。御社が運営するサイトまたはWebサービスについて、分かる範囲の情報を伺い、確認できたことと追加で確認が必要なことを整理します。URLだけで修正の有無や侵害の有無を確定するものではありません。
修正が必要な場合は、影響範囲の調査、PHPの更新・必要なパッチの適用、更新後の重要な機能の動作確認を別途ご相談いただけます。有料作業に進む前に、対象と費用を確認します。
まずは、自社で対応が必要か確認するところから。 無料のPHP初期確認について相談する際は、「PHP緊急影響確認」と書き、対象のサイトやWebサービスのURLと、サーバー会社・制作会社の名前（分かる場合）をお知らせください。
参考情報（2026年10月23日確認）：PHP公式の注意喚起、JPCERT/CCの注意喚起、AWSの攻撃観測報告
