脆弱性：PHPで重大な欠陥2件、修正版が出た。今わかること
脆弱性（安全面の欠陥）のうち、PHPの重大な欠陥2件を直す修正プログラムが2026年10月21日に公開されました。AIが見つけた欠陥で、セキュリティ企業のWizは「これまでで最も深刻」と述べています。修正プログラムを当てないと、既知の脆弱性が残ったままになります。
目次
結論：PHPの重大な欠陥2件に修正プログラムが出た
PHPのセキュリティチームは、2026年10月21日に二つの重大な欠陥を直す修正プログラムを公開しました。
別に、PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）についての注意喚起が、2026年10月26日付で更新されています。この二つの番号が、10月21日に直された2件と同じものかは、まだ分かっていません。PHPは世界中で使われ、インターネットの相当部分を支える言語だと報じられています。
- 修正日：2026年10月21日
- 対象：PHPの二つの重大な欠陥
- 注意喚起（2026年10月26日更新）：PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）
何があったのか：AIが見つけた欠陥
BBCは2026年10月23日付で、AIが見つけたPHPの重大な欠陥に、各国が対応していると伝えました。
セキュリティ企業のWizは、AIが見つけた今回の欠陥を、これまでで「最も深刻」と述べました。発見に使われた技術を出した米オープンAIは、近年で最も影響が大きい問題の一つと呼んでいます。
脆弱性とは何か、PHPとは何か
脆弱性とは、OSやソフトウェアの不具合や設計ミスでできる、安全面の欠陥のことです。IPAは「セキュリティ上の弱点で、セキュリティホールとも呼ばれる」と説明しています。セキュリティホールは、脆弱性とほぼ同じ意味で使われることが多いです。
すべての不具合が脆弱性になるわけではありません。安全面に関わるものが脆弱性とされます。脅威は攻撃など損害を与えうるもので、脆弱性はその脅威に悪用されうる弱点です。
PHPは世界中で使われ、インターネットの相当部分を支える言語だと報じられています。BBCの関連記事は、PHPの重大な脆弱性で多くのウェブサイトが休止したと題しています。
- 脅威：攻撃など、損害を与えうるもの
- 脆弱性：脅威に悪用されうる弱点
これまでの流れ
脆弱性に関する動きは、2026年10月21日から11月1日までに次のように進みました。
| 日付 | 出来事 | 情報元 |
|---|---|---|
| 2026年10月21日 | 二つの重大な欠陥を直す修正プログラムが公開された | PHPのセキュリティチーム |
| 2026年10月22日 | 多くのウェブサイトが休止したと報じられた | BBC |
| 2026年10月23日 | AIが見つけた脆弱性に、世界が対応していると解説された | BBC |
| 2026年10月26日 | PHPの複数の脆弱性に関する注意喚起が更新された | 注意喚起 |
| 2026年11月1日 | 修正対応が続いていると記された | 動向分析 |
今も続いている対応
2026年11月1日の動向分析では、PHPの重大な脆弱性の修正対応が続いていると書かれています。
国内組織への不正アクセスが相次いでいるという注意喚起の見出しもありました。ただし、これがPHPの脆弱性と関係するかは、材料からは確かめられません。
まだ分かっていないこと
脆弱性の中身と、悪用された事例があるかは、まだ分かっていません。
- PHPの二つの欠陥の具体的な中身と、実際に悪用された事例があるかは、まだ分かっていません。
- 休止したウェブサイトの数や、被害の全体像は、まだ分かっていません。
- 今も対応が必要なサイトがどれくらい残っているかは、まだ分かっていません。
- AIがどのように欠陥を見つけたのかの詳しい方法は、まだ分かっていません。
- 今後同じような脆弱性の発見が増えるのかは、まだ分かっていません。
サイトを持つ人が今できること
脆弱性を放置すると、不正アクセス、情報漏えい、マルウェア感染、業務停止などにつながるおそれがあります。まず、使っているPHPの版と、開発元の修正プログラムの有無を確かめてください。くわしい情報は、PHPの公式の案内や、IPAなど公的機関のサイトで集められます。
脆弱性は完全になくすのが難しく、新しいものが毎日見つかります。そのため、続けて対策する必要があります。リスクを判断するときは、CVSSスコアだけで決めず、公開からの経過時間や悪用の可能性も見てください。
- 使っているPHPの版を確認する
- 開発元の修正プログラムを当てる
- IT資産を把握し、影響を受けるものを判断する
- 定期的な脆弱性診断を行う
- 権限の管理と、社内の教育を行う
よくある疑問
脆弱性とは何ですか？
脆弱性は、OSやソフトウェアの不具合や設計ミスでできる、安全面の欠陥のことです。セキュリティホールとほぼ同じ意味で使われることが多いです。
PHPの脆弱性はもう直りましたか？
PHPのセキュリティチームは2026年10月21日に修正プログラムを公開しました。ただし、修正を当てていないサイトがどれくらいあるかは、まだ分かっていません。
脆弱性を放置するとどうなりますか？
不正アクセス、情報漏えい、マルウェア感染、業務停止などにつながるおそれがあります。
脆弱性の対策は何をすればいいですか？
最新のパッチ適用、定期的な脆弱性診断、IT資産の管理、権限管理、教育などが基本の対策です。
あわせて読みたい
同じ分野の新しい記事
