1. 概要
The PHP Groupは、2026年10月21日23:00頃（日本時間）にPHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表しました[1]。本脆弱性のCVSS4.0スコアはいずれも9.2（Critical）と高く、悪用された場合、PHPの実行プロセスの権限で任意のコードを実行され、システムの乗っ取り、データの改ざんや漏えい、サービス停止等につながる可能性があります。
PHPは、様々なWebアプリケーションやソフトウェア製品で利用されているオープンソースのプログラミング言語です。統計サービスW3Techsの調査によると、全世界のWebサイトのうち約70%でPHPが使用されていると報告されています[2]。PHPが使用されている世界中のWebサービスが本脆弱性の影響を受け、脆弱性対策のメンテナンスのためサービスの停止を余儀なくされました。
2. 脆弱性情報詳細（CVE-2026-109618、CVE-2026-109619）
(1)脆弱性の概要
・CVE-2026-109618（RCE via OOM corruption）
PHPのメモリ不足（Out of Memory：OOM）発生時のエラー処理に起因する脆弱性です。PHPがOOMによりリクエストの処理を中断するとき、初期化が不完全なデータを参照してしまい、メモリ破損を引き起こす可能性があります。
・CVE-2026-109619（RCE via stale global state）
PHPのリクエスト処理やエラー処理に起因する脆弱性です。リクエストで使用したメモリが解放された後も当該メモリを参照し続けてしまい、解放済みメモリの不正使用（Use-After-Free）につながる可能性があります。
(2)攻撃の概要
攻撃者は、脆弱なPHP環境（WordPress、Drupal、Joomla等の主要なCMSや、PHPを動作させている各種Webシステム・コンテナ環境等）に細工したリクエストを送信することで、メモリを不正な状態にしようと試みます。攻撃に成功すると任意のコードを実行され、システムの乗っ取り、データの改ざんや漏えい、サービス停止等につながる可能性があります。
(3)影響を受ける製品およびバージョン
今回公表された脆弱性の影響を受けるバージョンは下記の通りです。
・PHP 8.5.12より前のPHP 8.5系バージョン
・PHP 8.4.27より前のPHP 8.4系バージョン
・PHP 8.3.36より前のPHP 8.3系バージョン
・PHP 8.2.35より前のPHP 8.2系バージョン
なお、PHP 8.1以前のバージョンは、アップデートバージョンが提供されないためサポートされているバージョンへのアップグレードが推奨されています。また、PHPを使用する製品やLinuxディストリビューションが提供するPHPも、本脆弱性の影響を受ける可能性があります。
本脆弱性に関する対応は、利用している製品やOSの提供元からの情報も併せて確認してください。
3. 対策
The PHP Groupは、2026年10月21日に本脆弱性に関する情報および対策方法を案内しています。
(1)修正済みバージョンへのアップデート
本脆弱性を修正したバージョンが下記の通り配布されています。開発者は修正済みバージョンへのアップデートを推奨しています。
・PHP 8.5.12
・PHP 8.4.27
・PHP 8.3.36
・PHP 8.2.35
(2)緩和策
The PHP Groupは、CVE-2026-109618、CVE-2026-109619に対するアップデートができない利用者に対して緩和策を提供しています。
ただし、本緩和策は特定の攻撃経路への対処にとどまるため、アップデートのみが根本的な対策とされています。詳細は、開発者が提供する最新の情報を確認してください。
4. まとめ
本記事では、PHPに存在する複数の脆弱性（CVE-2026-109618、CVE-2026-109619）について、詳細と対策を紹介しました。本脆弱性は、攻撃者によって任意のコードが実行される可能性があり、早急な対応が求められます。
PHPを利用している場合は、影響を受けるバージョンを確認してください。対応にあたっては、攻撃痕跡の保全を行ったうえで、修正済みバージョンへのアップデートを早急に実施することを推奨します。修正済みバージョンへのアップデートが直ちに実施できない場合は、必要に応じたアクセス制限等の回避策を検討してください。また、既に攻撃を受けている可能性を考慮し、関連するログ等の調査により、侵害の有無を特定することを推奨します。
5. 参考情報
[1] The PHP Group
Security advisory: Critical remote code execution vulnerabilities, update now
2026年10月24日閲覧
https://www.php.net/archive/2026.php#2026-10-21-5
[2] W3Techs
Usage statistics of server-side programming languages for websites
2026年10月24日閲覧
https://w3techs.com/technologies/overview/programming_language
[3] JPCERT/CC
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
2026年10月24日閲覧
https://www.jpcert.or.jp/at/2026/at260033.html
[4] IPA情報処理推進機構
PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)
2026年10月24日閲覧
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
[5] CVE
RCE via OOM corruption
2026年10月24日閲覧
https://www.cve.org/CVERecord?id=CVE-2026-109618
[6] CVE
RCE via stale global state
2026年10月24日閲覧
https://www.cve.org/CVERecord?id=CVE-2026-109619
6. SSKの総合セキュリティサービスについて
SSKでは総合セキュリティサービスとして、セキュリティ運用監視サービス、脆弱性診断サービス、デジタル・フォレンジックサービスなどのセキュリティサービスを展開しております。
セキュリティ運用監視サービスでは、24時間365日、リアルタイムでセキュリティログの有人監視を行っております。サイバー攻撃対策としてセキュリティ機器を導入しても、継続的な運用監視と分析・判断が伴わなければ十分な効果は得られません。セキュリティ運用監視サービスでは、不審な通信やアラートを継続的に分析し、迅速な通知によって、インシデント発生時に適切に対処できるよう支援いたします。
脆弱性診断サービスでは、お客様のシステムを診断し、検出された脆弱性への対策をご提案させていただいております。テレワークの常態化やIoT等のデバイスの多様化が進む昨今、特定の攻撃経路だけを想定した「境界防御」に加えて、脆弱性を把握・管理・対処する『本質防御』も必須となっています。脆弱性診断サービスのご活用により、お客様のシステムにおける脆弱性の存否が明らかになります。
デジタル・フォレンジックサービスでは、万が一のインシデント発生時に、コンピュータやセキュリティ機器などに残された情報を分析し、侵入経路や情報窃取の痕跡等を特定するフォレンジックサービスを提供しております。また、平時の備えとして証拠保全の訓練などを実施する事前アドバイザリーサービスも提供しております。
これらの総合セキュリティサービスにより、インシデントの予防と、発生時の迅速な対処を両立し、対策コストや被害の抑制に貢献します。
【参考URL】
セキュリティ運用監視サービス：
https://www.ssk-kan.co.jp/e-gate#e-gate--02
脆弱性診断サービス：
https://www.ssk-kan.co.jp/vulnerability-assessment
デジタル・フォレンジックサービス：
https://www.ssk-kan.co.jp/digital-forensics
※本資料には弊社が管理しない第三者サイトへのリンクが含まれています。各サイトの掲げる使用条件に従ってご利用ください。
リンク先のコンテンツは予告なく、変更、削除される場合があります。
※掲載した会社名、システム名、製品名は一般に各社の登録商標 または商標です。
≪お問合せ先≫
サービス＆セキュリティ株式会社
〒151-0051
東京都渋谷区千駄ヶ谷5丁目31番11号
住友不動産新宿南口ビル 16階
TEL 03-4500-4255
FAX 03-6824-9977
sales@ssk-kan.co.jp