1. ホーム/
  2. PHP脆弱性緊急対応サービス

PHP脆弱性緊急対応サービス2026年10月23日 更新

PHPの重大な脆弱性、
対策はお済みですか？

「分からない」が答えなら、そのまま相談してください

自社のWebサイト・Webサービスが対象か、まず無料で確かめます。10月21日に公表された2件について、分かる範囲の情報から確認し、確認できたこと・できないこと・次の行動を、専門用語を使わずにお返しします。

自社のPHP稼働環境を無料で確認する

PHPを使っているか分からなくても申し込めます

画面の下にある、PHPとサーバーの層を確かめる重なった三つの層。上は普段見ているサイトの画面、中はそれをつなぐ層、下は普段見えないPHPとサーバーの基盤。下の層の一か所から確認の線が上へ伸び、浮かんだカードにチェックが付いている。
10.21
2026年、PHP本体の重大な脆弱性2件が公表され、修正版が出ました
9.2
2件の深刻度（CVSS v4.0）。区分は「緊急（Critical）」
  • PHPを使っているか、分からなくてよい対象のURLと、分かる範囲の情報だけで申し込めます
  • URLを入れるだけで判定しない分からない点は、確かめ方と確認先まで含めてお返しします
  • 無料の確認から、自動で課金されない更新が必要な場合も、内容と費用を確かめてから決められます
対象の確認

誰に頼めばいいか分からなくても、確認から更新まで、まとめて引き受けます

何を聞けばいいか分からなくても大丈夫です。サーバー会社や制作会社への確認も、こちらでまとめて進められます。サーバーの管理の権限によって進め方が変わるため、個別にご案内します。

PHPは、外から見えないところでサイトやサービスを動かしています。次のどれかに当てはまれば、確認の対象になり得ます。

WordPressを更新しても、PHPは別です。

  • 会社のホームページ

    問い合わせフォームや、お知らせを更新する画面があるサイトは、サーバー側でPHPが動いていることがあります。

  • WordPressのサイト

    WordPressはPHPで動きます。WordPress本体を更新していても、サーバーで動くPHPは別に確認が必要です。

  • 予約・会員・ECなどのWebサービス

    予約画面、顧客向けのマイページ、ネットショップ、取引先向けの受発注の画面など、外から使えるサービスです。

  • 外部とつながるAPI

    取引先のシステムや、決済・在庫などのサービスと、データをやり取りする仕組みです。画面がなくても対象になり得ます。

  • 制作会社に任せていて、分からない

    それでも申し込めます。契約書や毎月の請求書にある、制作会社やサーバー会社の名前が分かれば、そこから確認を始められます。

今回の公表

10月21日、PHP本体の
脆弱性2件が公表された

公表と修正版
2026年10月21日、PHPの開発元が2件の脆弱性と、それを直した修正版を公表しました。
深刻度
2件とも、CVSS v4.0で9.2（Critical）です。条件がそろうと、ログインしていない第三者が、PHPの実行権限で不正なコードを動かせるおそれがあります。
攻撃の試みと被害は別
公表前の10月17日から、攻撃の試みが観測されています（Amazonの観測報告。攻撃が成功したかどうかは不明です）。攻撃の試みの観測は、御社のサイトが被害を受けたという意味ではありません。
WordPressとPHPは別
WordPress本体を更新しても、サーバー側で動くPHPは別に確認が必要です。
対象のバージョンを見る
無料初期確認

確認できたことと、できないことを、
分けてお返しします

無料で確認するのは、1つのサイトまたはWebサービスの1環境です。いただいた情報をもとに、PHPの稼働と、今回の2件への修正の状況を確かめます。

確認すること

  • 対象のサイト・Webサービスで、PHPが動いているか
  • 動いているPHPの系統と版
  • サーバー会社やOSの提供元が、修正を取り込んでいるか
  • 分からない点を、どこに確かめればよいか

受け取れる結果

初期確認の結果 対象 www.example-shop.jp
区分
  • 更新が必要
  • 今回の2件への修正を確認
  • 情報不足で判定不可
確認できたこと
PHPで動くWordPressのサイトです
確認できないこと
サーバーで動いているPHPの版と、修正の取り込み
次の行動
サーバー会社に、稼働中のPHPの版と、今回の修正の取り込みを問い合わせる
画面イメージ（提案用に作成。名称と数値は架空です）

確認しないこと

  • 侵入試験
  • 網羅的な脆弱性診断
  • 侵害されたかどうかの調査
  • 修正の作業

更新が必要な場合は、内容と費用を事前にご案内したうえで、Rabilooが更新と動作確認まで行えます。

更新が必要な場合

PHPのバージョンが分からなくても、申し込めます。

自社のPHP稼働環境を無料で確認する
ご用意いただく情報

会社名・連絡先と対象のURLで、
申し込めます

ほかの情報は、分かる範囲で構いません。契約書や毎月の請求書から、サーバー会社や制作会社の名前が分かることがあります。

必須3項目

  • 会社名
  • ご連絡先お名前、メールアドレス、電話番号
  • 対象のサイトまたはWebサービスのURL

分かれば

  • サーバー会社
  • 制作会社・保守会社
  • 管理画面で見える情報PHPの版の表示、サーバーの種類など

パスワードや秘密鍵は不要です。フォームやメールに書かないでください。

電話でも相談できます 070-8456-9696

流れ

申込みから、結果の連絡まで

  1. 01

    申込み

    このページのフォームから、会社名、連絡先、対象のURLを送ります。

  2. 02

    情報の確認

    届いた内容を確かめます。足りない情報は、調べ方をお伝えするか、サーバー会社などへの確認をこちらで進めます。

  3. 03

    初期確認

    分かる範囲の情報から、PHPの稼働と、今回の修正の状況を確かめます。

  4. 04

    結果の連絡

    確認できたこと、確認できないこと、次の行動を、専門用語を使わずにお伝えします。

  5. 05

    必要なら更新まで

    更新が必要な場合は、内容と費用を事前にご案内したうえで、Rabilooが更新と動作確認まで行います。

更新が必要な場合

更新と動作確認まで、
Rabilooが行います

初期確認で更新が必要と分かった場合は、次の作業までRabilooが行えます。内容と費用は、環境を確かめたうえで事前にご案内します。

  1. 01

    影響の調査

    対象の環境が、今回の2件の影響を受ける構成かを詳しく確かめます。

  2. 02

    PHPの更新・パッチの適用

    修正版への更新、または提供元の修正の適用を行い、PHPの実行プロセスを再起動します。

  3. 03

    更新後の動作確認

    問い合わせフォーム、予約、ログイン、注文など、事業に関わる機能が動くかを確かめます。

無料から、自動で課金されません

結果をお伝えしたあと、作業を頼むかどうかは御社で決められます。依頼される場合も、内容と費用を確かめてから進めます。

侵害の調査・復旧は、別の対応です

侵害の調査や復旧は、更新の作業とは別の専門の対応です。不審な動きがある場合は、ログや証拠を残したうえでご相談ください。

自社のPHP稼働環境を無料で確認する
Rabilooについて

分からないところから、更新のあとまで、
同じ窓口で

確認から更新・動作確認まで、同じ窓口で
初期確認のあと、更新が必要な場合も窓口を変えずに、Rabilooが更新と動作確認まで行います。作業の内容と費用は、事前にご案内します。
専門用語を使わずに説明します
確認の結果を、経営の判断に使える言葉でお伝えします。制作会社やサーバー会社とのやり取りも、まとめて進めます。
Webサービスと業務システムの開発・運用の経験
予約・会員・業務システムなどの開発と、その後の運用・保守に携わってきました。
取得している認証
  • ISO/IEC 27001情報セキュリティ
  • ISO 9001
  • CMMI Level 3

Rabilooグループとして取得

補足

対象のバージョン

サーバーの担当の方と確認するときの資料としてお使いください。

識別子CVE-2026-109618
CVE-2026-109619

深刻度2件とも CVSS v4.0 基本値 9.2（Critical）

各系統で、修正版より前の版が対象です。

PHPの系統修正版
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35
8.1以前通常のサポートは終了しています。7.4／8.0／8.1向けには、開発元が例外的に最小限のバックポートを示しましたが、古い系統を使い続けて安全になるものではありません。
  • サーバー会社やOSの提供元が、古いバージョン番号のまま修正を取り込む（バックポート）場合があります。表示上の版だけでは、安全とは断定できません。
  • 更新したあとは、PHPの実行プロセスの再起動が必要です。設定の変更だけでは、完全には防げません。
技術者の方向け：2件の仕組み
CVE-2026-109618
メモリ不足（OOM）で処理が中断したとき、内部データが未初期化のまま残り、リクエストの終了処理がそれを有効なデータとして扱います（メモリ破壊）。
CVE-2026-109619
あるリクエストでメモリを解放したあとも、PHPワーカーの内部状態に参照が残り、同じワーカーが扱う次のリクエストで解放済みのメモリが使われます。
対象の設置
PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webのリクエストを処理するPHPの設置が対象です。条件がそろうと、認証なしのリモートコード実行につながるおそれがあると、開発元が実証しています。

参考（2026年10月23日確認）：PHP公式の注意喚起、JPCERT/CCの注意喚起

よくあるご質問

無料初期確認に関するよくあるご質問

Q 無料で確認してもらえる範囲を教えてください
A

1つのサイトまたはWebサービスの1環境について、PHPが動いているか、今回の2件への修正が入っているかを、いただいた情報の範囲で確認します。更新などの作業、侵害されたかどうかの調査、ほかの脆弱性の確認は含みません。

Q 「今回の2件への修正を確認」と言われたら、ほかに何もしなくてよいですか？
A

今回の2件について、いただいた情報の範囲で修正の適用を確認できた、という意味です。ほかの脆弱性があるかどうかや、すでに侵害されていないかどうかは、この確認では分かりません。必要に応じて、次に確かめるとよいことをお伝えします。

Q 申し込む前に、準備しておく情報はありますか？
A

必須は、会社名、ご連絡先、対象のURLです。サーバー会社、制作会社・保守会社の名前、管理画面で見えるPHPの情報が分かれば、あわせてお知らせください。パスワードや秘密鍵は不要です。

Q PHPのバージョンが分からなくても申し込めますか？
A

はい、申し込めます。分かる情報から確認を進め、必要ならサーバー会社などへの確認もこちらで行います。

Q PHP 7.4や8.0を使っています。どうすればよいですか？
A

PHP 8.1以前は、通常のサポートが終了しています。7.4／8.0／8.1向けには、開発元が例外的に最小限のバックポートを示しましたが、古い系統を使い続けて安全になるものではありません。上の系統への移行も含め、環境に合う進め方をご相談ください。

Q WordPressを最新版にしました。これで十分ですか？
A

WordPress本体と、その下で動くPHPは別です。サーバー側のPHPに、今回の修正が入っているかも確認が必要です。

Q サイトは普通に表示されています。確認は必要ですか？
A

通常どおり表示されていることは、PHPに修正が適用されている証拠にはなりません。動いているPHPと、提供元の対応の状況を確かめてください。

Q サーバーの管理権限がなくても確認できますか？
A

レンタルサーバーなどで権限が限られている場合は、提供元への確認をこちらで進めるなど、権限に合わせた進め方をご案内します。確認できる範囲は、環境を伺ったうえでお伝えします。

Q 更新の作業をするとき、サイトは止まりますか？
A

更新したあとはPHPの実行プロセスを再起動するため、短い時間止まる場合があります。作業の日時は、事前にご相談して決めます。

Q すでに攻撃を受けたかどうかも分かりますか？
A

この初期確認では分かりません。侵害されたかどうかは、ログやサーバー上のファイルを調べる別の調査になります。ログに兆候がなくても、侵害されていないとは断定できません。不審な動きがある場合は、ログや証拠を残したうえでご相談ください。

フォームの入力が難しい場合や、お急ぎの場合は、電話でも相談できます。

070-8456-9696
無料初期確認

分からないことを、
そのまま書いてください

PHPを使っているか分からない段階でも申し込めます。最初のご連絡で、確認する環境と、その後の進め方をお伝えします。

最初のやり取りで分かること
  1. 01
    確認する環境対象のURLと、サーバーや制作を任せている会社など、管理の体制を伺います
  2. 02
    分かる範囲で構わないPHPのバージョンが分からなくても、分かる情報から確認を進めます
  3. 03
    結果のお返し確認できたことを区分に分け、次の行動とあわせてお伝えします

必須の項目のほかは、分かる範囲で構いません。PHPのバージョンが分からなくても申し込めます。

自社のPHP稼働環境を無料で確認する
Rabiloo