PHPが緊急修正版を公開。サイト運営者がホスティング会社に確認すべきこと

PHPは10月21日、認証なしでのリモートコード実行につながり得るとする重大な脆弱性2件を修正する緊急アップデートを公開しました。サイト運営者にとっての確認点は、訪問者のリクエストを処理しているPHPに、その修正が適用されたかどうかです。

修正済みの公式バージョンは8.5.12、8.4.27、8.3.36、8.2.35です。PHP側で公開されても、ホスティング会社が導入済みとは限りません。マネージドWordPressでも、管理画面からは実施できないサーバー側の対応が必要な場合があります。

修正の対象はホスティング側の実行環境

PHPのセキュリティ告知は、CVE-2026-109618とCVE-2026-109619を対象としています。プロジェクトは、Webリクエストを処理するPHP環境にリスクがあるとし、完全な解決策は更新のみと説明しています。事前告知での評価は、いずれもCVSS v4.0で9.2でした。

問題の対象は特定のCMSやプラグインではなく、PHPです。WordPress本体、テーマ、バックアップ用プラグインを更新しても、それだけでは実行環境の修正を確認できません。一方、この告知は、影響を受け得るすべてのサイトが侵害されたことを示すものでもありません。

ホスティング会社には、サイトのWebリクエストを処理するPHPのビルドと、両方の脆弱性への修正状況を確認してください。メンテナンスの予定があるという回答と、稼働中のサービスが修正済みという回答は区別する必要があります。

バージョン番号だけで判断しない

公式の修正版は出発点になります。ただし、一部のディストリビューションや長期サポート提供者は、古いパッケージに修正を取り込むバックポートを行います。その場合は、バージョン番号だけで未修正と判断せず、2件の修正を確認できるベンダー告知やパッケージ情報を求めるのが適切です。

PHP 8.1以前は、プロジェクトの通常のセキュリティサポート対象外です。古いブランチ向けの例外的なソースコード修正があっても、通常サポートの再開を意味しません。利用者には、適用可能な修正の確認と移行計画が必要です。

WordPressでは「ツール」→「サイトヘルス」→「情報」→「サーバー」で報告されるPHPバージョンを確認できます。特にバックポートを利用する環境では、この表示をホスティング会社との確認の起点にしてください。

修正を確認した後はサイトの動作も確認

回答は、別のコマンドライン用PHPやダウンロード済みパッケージではなく、実際のWeb実行環境を対象にしている必要があります。作業後は代表的なページ、ログイン、記事公開を確認します。復旧の準備には更新とロールバックのガイドも参考になります。

PHPは、部分的な緩和策だけでは安全にならないと警告しています。WAFのルールや設定変更を、修正版の導入と同等に扱うことはできません。また、更新済みであることは過去の侵害がなかった証拠にはなりません。不審な兆候がある場合、その調査は別途必要です。