10月21日のPHPの脆弱性と、古いバージョンの直し方

保守でお預かりしている企業の皆様のシステムで、今回の PHP の脆弱性への対応が落ち着きました。少し時間が経ちましたが、改めてこの件をまとめてお届けします。

10月21日、PHP の開発元が、重大な脆弱性（システムの弱点）2件を修正したと発表しました。ログインしていない外部の人から、サーバー上でプログラムを実行される恐れがあるものです（CVE-2026-109618・CVE-2026-109619、深刻度は10段階で9.2）。

開発元は「完全な回避策はなく、更新することだけが安全な選択」としています。ところが、修正版が出たのは PHP 8.2〜8.5 だけです。8.1 以前（7系・5系を含む）には、開発元からの修正版は出ません。

ただ、慌てる前に確かめていただきたいことがあります。サーバー会社が、古いバージョンにも修正を当ててくれている場合があるからです。

例えばエックスサーバーは、レンタルサーバー（エックスサーバー・XServerビジネス・XServer for WordPress）で、PHP 8.2〜8.5 を修正版に更新し、サポートの終わった PHP 5.1〜8.1 にも修正を当てました。10月26日の朝までに全ての対象サーバーで対応を終え、「急いで PHP のバージョンを変える必要はない」と案内しています。素早く、丁寧な対応だと思います。

一方で、同じ会社でも VPS は対象外です。サーバーを自分たちで管理する形の契約では、PHP の更新も自分たちで行う必要があります。

FUNBREW にも「うちは PHP 5.6 で動いているが、どうすればいいのか」というご相談が届いています。どこまでがサーバー会社の仕事で、どこからが自分たちの仕事なのか、この号外では、その見分け方と、自分たちでやる場合の手立てをお伝えします。

• 出典: PHP公式 Security advisory（2026年10月21日）
• 出典: エックスサーバー「PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について」
• バージョンごとのサポート終了日: PHPサポート終了日カレンダー

この脆弱性を残したままの中小企業のシステムが、実際に狙われる可能性はどうか。システム会社の立場で言うべきことではないかもしれませんが、可能性は低いと考えています。ただし、もし狙われれば、サービスの停止や、場合によっては操業の停止にまでつながる恐れがあります。起きる可能性が低いことと、起きた時の被害が小さいことは、別の話です。

加えて、ここ最近の状況を見ていると、今回を上回る緊急度の脆弱性がいつ出てもおかしくありません。大事なのは、そうなった時にすぐ動ける体制があるかどうかです。

もう一つ、エックスサーバーが古いバージョンまで直したのは、今回の脆弱性の影響があまりに大きかったからで、特別な対応だと見ています。PHP の開発元の方針は、あくまで「サポートの終わったバージョンは直さない」です。今回は誰かが直してくれましたが、次に見つかる問題も同じように直してもらえるとは限りません。

古い PHP で動いているシステムなら、今回を機に、サポート中のバージョンへ上げることを考えていただければと思います。

「うちのシステムの PHP のバージョンがいくつか分からない」という段階からで構いません。

FUNBREW の PHPレスキューでは、古い PHP で動いているシステムの対応をお受けしています。

今のバージョンのまま、修正を当てた PHP に入れ替える応急処置で足りるのか、先にバージョンを上げたほうがよいのかは、ソースコードを拝見した上で、現状調査（無料）でお答えします。調査の前に秘密保持契約を結びます。

ご相談はお問い合わせフォームから。メールでお受け取りの方は、このメールへの返信でも構いません。