PHPに重大な脆弱性、修正版を公開：小さなお店が確認すること

何が起きた？PHPの修正版と対象を確認

FIG.01

PHP開発チームは2026年10月21日、認証なしで遠隔からコードを実行されるおそれがある2件の重大な脆弱性を修正したバージョンを公開し、速やかな更新を呼びかけました。店舗のサイトを外部に任せている場合も、まず保守担当者に対応状況を確認してください。PHP公式発表

対象の識別番号は CVE-2026-109618 と CVE-2026-109619 です。前者はメモリ不足時の処理、後者はリクエスト間に残った内部状態の扱いに問題があります。専門的な仕組みを理解してから動く必要はありません。自店のウェブサイトで使うPHPに、両方の修正が適用されたかを確認することが先です。公式勧告1、公式勧告2

利用中のPHP系列	今回の修正版
8.2系	8.2.35
8.3系	8.3.36
8.4系	8.4.27
8.5系	8.5.12

表は10月21日に公表された修正版です。各系列でこれより前のバージョンは確認が必要です。ただし、OSやホスティング事業者が修正を取り込む「バックポート」では表示番号だけで判断できない場合があるため、事業者の告知や回答も確認します。修正版一覧と更新案内

PHP公式は、PHP-FPM、Apacheのmod_phpなど、ウェブリクエストを処理するPHP環境をリスクの対象に挙げています。特定のOSや一部のプラグインだけの問題とは扱わないでください。設定変更による緩和策は完全な解決ではなく、更新が必要です。PHP公式発表

8.1以前はPHPプロジェクトの通常サポートが終了しています。今回の例外的なソース向け修正提供は、通常サポートの再開を意味しません。保守会社と対応方法を確認し、サポート対象版への移行も計画しましょう。8.2系のセキュリティサポートも2026年12月31日までです。更新案内、サポート期間

Jitty AIの視点：AI検索から訪れる先の保守を優先する

FIG.02

編集部は、PHPを使い修正状況が不明な店舗サイトでは、優先度を「高」と考えます。 これは店舗運営上の判断です。この記事から個別サイトの被害や侵入の有無を判定することはできません。

WordPressはPHPを利用します。WordPress.orgも動作環境にPHPを挙げています。そのため、WordPress本体やプラグインの更新表示がなくても、サーバー側のPHPが対応済みとは判断できません。PHPの更新状況は別に確かめてください。WordPressの動作要件

Googleは、AIによる概要やAIモードでも通常のSEOの基本が有効で、専用の追加要件はないと説明しています。リンクの表示にはインデックス登録などの条件があり、条件を満たしても表示は保証されません。Google検索セントラル

Jitty AIが今回重視するのは、検索から来た人が正しい営業時間やサービス内容を読み、予約・問い合わせへ進める状態です。サイトの改ざんや停止が起きれば、その案内が損なわれるおそれがあります。これは運営上のリスクを考えた編集部の見解で、今回の脆弱性による自店の被害を示すものではありません。PHPを更新すればAI検索の順位や引用率が上がる、という根拠もありません。

PHPを使わない静的なサイトでも、別システムの予約ページや問い合わせ機能は確認対象になりえます。サイトの見た目だけで利用技術を判断せず、外部サービスは提供元の告知を確認しましょう。普段の情報点検には、小さなお店のLLMO入門と店舗情報をそろえる手順も使えます。

今日やること：保守担当者への確認と更新後の点検

FIG.03

以下は編集部が提案する進め方です。事業者からの緊急案内がある場合は、その手順も確認してください。

1. 管理する範囲を洗い出す。 公式サイト、予約ページ、問い合わせフォーム、残っている旧サイトについて、管理会社とPHP利用の有無を整理します。不明なものは「未確認」と記録します。
2. 両方のCVEへの対応状況を聞く。 「最新版です」だけで終わらず、ウェブ配信に使うPHPの修正適用状況、適用日時、根拠となる告知やパッケージ情報を確認します。作業用コマンドのPHPとウェブ配信用のPHPが同じかも、担当者に確認してもらいます。
3. 担当者と速やかに更新する。 バックアップと復元方法、互換性、必要な再起動・再読み込みを確認し、更新を進めてもらいます。自分で管理する場合も利用環境の公式手順に従います。緩和設定だけで対応完了とはせず、更新を長期に先延ばししないでください。
4. お客様が使う操作を点検する。 トップページ、営業時間、料金、予約へのリンク、問い合わせフォームを確認します。送信確認が必要なら担当者とテストであることを共有し、実予約や課金が発生しない方法を使います。
5. 確認結果を残す。 対象URL、確認日時、担当者、修正版または事業者の修正情報、動作確認結果、未対応の項目を記録します。身に覚えのないページや転送があれば、更新だけで解決したと判断せず、保守担当者へ調査を依頼します。

制作会社・サーバー会社には、次の文面を調整して送れます。

当店のサイトで使うPHPについて、CVE-2026-109618とCVE-2026-109619の修正適用状況を確認したいです。対象URLは［ここに記入］です。ウェブ配信用PHPのバージョンまたは修正済みと分かる事業者情報、適用日時、必要な再起動等の完了、予約・問い合わせ機能への影響を教えてください。未対応の場合は、対応予定と当店側で必要な作業もお願いします。

まず目指すのは、担当者と対応状況が分かり、修正後もお客様が必要な情報と連絡先にたどり着けることです。確認した事実と未確認の項目を分けて残してください。