PHPに10点満点中9.2の重大な脆弱性2件、修正版が公開首相が「大至急のお願い」、pixivやBASEなど多数が先にサービスを停止

PHPの開発チームは2026年10月21日（日本時間）、重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の修正版を公開しました。PHP公式のアドバイザリによると、深刻度は2件とも CVSS v4.0 で10点満点中9.2で、最上位の区分 Critical にあたります。修正版は 8.5.12・8.4.27・8.3.36・8.2.35 です。公式は、Webの要求を受けて動くPHPは全部が対象だと書いています。日本では、国家サイバー統括室と首相が対応を呼びかけ、修正版の公開前から多くの会社がサービスを止めました。

この記事の内容は、2026年10月21日の夜（日本時間）時点の公式の発表に基づきます。状況は動いているため、最新はPHP公式のアドバイザリを確認してください。

3行まとめ

1. PHP公式の重大な脆弱性2件は、CVSS v4.0 で10点満点中9.2（Critical）。修正版は 8.5.12・8.4.27・8.3.36・8.2.35
2. 国家サイバー統括室が21:44に「ウェブサイト等を一時的に停止させることも…有効策の一つ」と投稿し、首相は21:55に「大至急のお願い」と投稿。pixiv・BASE・ニコニコ・さくらインターネットなどが先にサービスを停止
3. WordPress本体やプラグインの更新では直らない。穴があるのはその下で動くPHPで、借り方によってやることが3通りに分かれる

この件は、YouTube「AI時短ラボ」の動画「PHPに10点満点中9.2の穴、首相が「大至急のお願い」」でも解説しています（動画の公開は日本時間10月21日23時台）。

何が起きたのか

PHP公式は10月20日、重大なセキュリティ修正版を21日（日本時間23時）に出すと予告しました。予告の時点では、影響を受ける版も、直した版の番号も書かれておらず、PHPを使う全員に、修正版が出たらすぐ更新できるよう準備してほしいと呼びかけていました。

その後、予告の23時より前の22時34分に、GitHubで2件のアドバイザリが公開されました。早めた理由は公式には書かれていません。前日の予告には、詳細が公になれば早めることがある、とだけ書かれていました。

なお、予告より前に情報が漏れていたとも報じられています。Hacker Newsの投稿がのちに削除され、セキュリティ会社のwatchTowrが「本物」と認めたと、threatlandscape.ioが報じています。

深刻度は10点満点中9.2

CVSSは、脆弱性の深刻度を0から10までの点数で表す世界共通の物差しです。9.0以上は最上位の区分 Critical とされ、今回の9.2は満点の10.0まであと0.8の位置です。

公開前の話の中には、点数を10.0とするものがありました。これは誤りで、公式が出した点数は9.2です。目盛りはCVSSのバージョン4.0で、古い版の点数とは物差しの作りが違うため、並べて比べるときは注意が必要です。

公式の点数の内訳では、攻撃の難しさは「高」、攻撃に必要な状況は「あり」とされています。条件なしで丸ごと乗っ取れる形ではありません。

対象の版と修正版

PHP公式のアドバイザリによると、影響を受ける版と直った版は次のとおりです。

公式の表に載っているのは8.2から8.5だけです。公式は、8.1以前にはもう更新を出さないと書いています。ただし7.4、8.0、8.1には、ソースから作る人向けに最小限の修正が用意されたとあります。5系の扱いは書かれていません。

対象の範囲について、公式はWebの要求を受けて動くPHPは全部が危険の対象だと書いています。PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeedを含みます。ただし全部が同じ危なさではなく、公式が一番高いとするのはApacheのmod_phpです。ログインなしの要求1つで、アプリが動く前に仕掛けられる攻撃が確かめられたと書かれています。一方で、成功の確実さはPHPの作り方や周りの環境で変わるとも書いています。

どんな穴なのか

詳しい仕組みは、PHP公式のアドバイザリを読んでください。ここでは一般向けに、公式の言葉に沿って2件の違いだけを書きます。

• CVE-2026-109618: メモリが足りなくなったときの処理の不具合です。途中までしか準備されていないデータが残り、後片付けの処理がそれを正しいデータとして扱ってしまいます。
• CVE-2026-109619: 前の要求が使っていたメモリの情報が、解放された後も残る不具合です。次の要求がそれを使ってしまう、解放後使用という種類です。

どちらも、攻撃されると、ログインなしで、Webサーバーの権限でプログラムを動かされるおそれがあると、公式は書いています。

発見者について、公式の欄にはGitHubのアカウント名で報告者が4つ載っています。AIの名前は、PHP側の発表には出ていません。この点は、後半のOpenAIの発表の節で続きを書きます。

規模：PHPはどれだけ使われているか

W3Techsの10月21日の集計では、PHPはサーバー側の言語が分かるサイトの69.3%で使われています。その内訳は、8系が65.2%、7系が27.0%、5系が7.7%です。

7系と5系を足すと約35%（27.0%＋7.7%）で、公式の修正版が出ない側にあたります。8.1以前の8系にも公式の更新は出ないため、実際はもっと多い可能性があります。これは筆者の推測です。

国と首相の呼びかけ

国家サイバー統括室の「注意・警戒情報」の公式アカウントは、13時1分の投稿で、php.netの告知を引いて、23時の修正パッチを適用できるよう準備を、という趣旨の呼びかけをしました。21時44分の投稿は、原文でこうなっています。

PHPの重大な脆弱性に関し、本日午後11時に公開が予定されている修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

続く21時55分、高市早苗首相の本人アカウントも投稿しました。最初の一文は、原文でこうです。

皆様に、今夜に対応して頂きたい大至急のお願いです。

続きでは、公開しているウェブサイトでPHPを使っているかの確認と、23時の修正パッチを適用できるよう準備することが求められています。適用が難しければ、サイトの一時停止も有効策の一つとされています。このアカウントのプロフィールには、総理在任中の投稿は一部広報スタッフによるものを含む、と書かれています。

修正版の前に、自分から止めた夜

修正版が公開される前から、緊急メンテナンスや全停止を告知する会社が相次ぎました。筆者が公式の告知（公式サイトと公式X）で確認できた会社・団体は、10月21日23時14分時点で195件で、そのうち告知に「PHP」と明記したものは158件です。報道だけで確認したものは数に入れていません。動画の中で画面に並べた一覧は、動画制作時点の84件でした。件数は告知の増加に合わせて増えています。各社の告知は、サービス停止や緊急メンテナンスの告知で、停止の範囲や時間は会社ごとに違います。代表的なものは次のとおりです。

会社ごとの書き方は違います。公式の文面にPHPと書いたのは、BASE、ブシロード、バンダイチャンネル、刀剣乱舞ONLINE、Cygames IDなどです。コドモン、pixiv、モリサワ、ワコムは「ソフトウェアの重大な脆弱性」とだけ書いており、筆者はPHPの件と断定していません。さくらインターネットのお知らせ本文にもPHPの記載はありませんが、日本経済新聞とITmedia NEWSは、PHPの脆弱性に絡んだ動きとして報じています。

また、筆者が調べた範囲では、どの会社も、不正アクセスや情報漏えいは確認されていないと書いています。侵入があったという公式の発表は、見つかっていません。被害が出てから止めたのではなく、出る前に止めた夜でした。

WordPressを使っている人がやること

一番大事な点は、WordPress本体やプラグインを最新にしても、今回の穴は直らないことです。穴があるのは、その下で動くPHPです。W3TechsではWordPressは全サイトの39.6%で使われています。GMO Flatt Securityの記事は、研究者の投稿によれば、WordPressやLaravelなど様々な構成で攻撃が再現するようだと書いています。

PHPを誰が更新するかで、借り方を3つに分けて考えると、やることが決まります。

1. WordPress.comなど、全部お任せの型: PHPは運営会社が管理します。基本は利用者がやることはなく、運営会社のお知らせを確認しておきます。
2. レンタルサーバー（エックスサーバー、ConoHa WING、さくら、ロリポップなど）: PHPはサーバー会社が更新する側です。会社のお知らせを確認し、管理画面で自分のサイトのPHPの版を見ます。7系以前なら公式の修正は来ない見込みなので、8系への移行を考えます。古いプラグインが動かなくなることがあるため、バックアップを取ってから進めます。
3. 自分でVPSにPHPを入れた人: PHPの更新を自分でやるしかありません。3つの中で一番危ない型です。出た修正版の番号は 8.5.12・8.4.27・8.3.36・8.2.35 です。Linuxの配布元のパッケージを使う人は、配布元の更新を確認するよう公式は書いています。

更新が間に合わないときの応急処置として、session.upload_progress.enabled を0にする設定があります。ただしGMO Flatt Securityは、この設定のみでは緩和にとどまり、攻撃自体は回避できない見込みだと更新しました。PHP公式も、メモリ上限やアップロードの大きさの上限などの設定は一部の経路を塞ぐだけで、更新だけが安全だと書いています。設定を変えたら、全部のプロセスの再起動も必要です。設定は更新の代わりにはなりません。

自分のサイトのPHPの版が分からないときは、サーバーの管理画面か、ホスティング会社のお知らせから見るのが早い方法です。

攻撃と防御の時間競争

修正版が出ると、攻撃する側にも手がかりが生まれます。直す前と後の差分を比べると、穴の場所を逆算できるためです。前例として、2024年のCVE-2024-4577は、公開から24時間以内に攻撃の試みが観測されたと、Akamaiが報告しています。

公開前後の状況について、確認できていないことがあります。GitHubには、10月20日23時26分（UTC）以降、攻撃コードを名乗るもの、防御のルール、検証環境が十数件出ていました。公開されているPHPでは再現しないとする検証もあり、本物かどうかは確認できていません。筆者はこれらの中身を実行しておらず、この記事でも扱いません。

OpenAIの発表：AIが見つけた穴の一つ

動画の公開後、日本時間23時4分に、OpenAI公式Xが今回の件について投稿しました。投稿によると、OpenAIのモデルが、Patch the Planetの研究者による発見を助けたとのことです。2か月前から連合で修正を準備していたとも書かれています。OpenAIは今回の穴を、英語で次のように表現しています。

one of the most impactful vulnerabilities in recent memory

a new phase, where AI can find security bugs with internet-scale impact

（最近で最も影響の大きい脆弱性の一つ／AIがインターネット規模の影響を持つセキュリティ上の穴を見つけられる、新しい段階）

この記事の前半で書いた「AIの名前は公式の発表に出ていない」は、PHP側の発表についてです。OpenAIの発表は別の出所で、PHP公式の報告者の欄とは別に読む必要があります。筆者が確認できたのはXの投稿までで、OpenAIがブログに書いたとされる詳細は取得できていないため、ここでは引用していません。

確認できていないこと、筆者の見立て

• OpenAI公式Xの投稿以外の、AIの関与の詳細は確認できていません。
• 7系以前の公式の更新が出ないことは公式に書かれていますが、5系の扱いは書かれていません。
• 「修正版の公開から24時間以内に攻撃が始まる」という予測は、2024年の前例に基づくもので、今回そうなるかは確認できていません。
• 「終電までに対応を終えるのは難しい」という動画での話は、筆者の見立てです。かかる時間の統計は見つけていません。

筆者は公式の予告を受けて、23時の公開より前に動画の台本を組み、公開後の中身で空欄を埋めました。その過程で、公開前の見立てと公式の説明は一部しか一致しませんでした。公開前にGMO Flatt Securityが挙げていた機能（Session Upload Progress）は、公式の説明では2件目の経路の一つで、1件目はメモリが足りなくなったときの後片付けの不具合でした。

出典と確認時刻

• PHP公式 GitHub Security Advisory（GHSA-w8hw-w9fx-j79w）、同（GHSA-6wmf-4rv5-p3rp）（2026年10月21日22時34分に公開）
• The PHP Foundation 公式フォーラムの予告
• 国家サイバー統括室の投稿（21:44）、高市早苗首相の投稿（21:55）
• OpenAI公式Xの投稿（23:04）
• GMO Flatt Security：php2shell、W3Techs（PHP）、W3Techs（WordPress）
• 各社の告知：コドモン、BASE、さくらインターネット、ITmedia NEWS
• Akamai：CVE-2024-4577の公開翌日の攻撃

本記事は続報があり次第更新します。