【事前準備のお願い】PHPのセキュリティリリース公開予定について

注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。

概要

The PHP Groupが提供するPHPについて、2026年10月21日 23:00（日本時間）に、2つの脆弱性に対するセキュリティリリースを公開する予定であることが発表されています。

• Upcoming Critical PHP Security Release

また、脆弱性の詳細が公開された場合や、実際に悪用が確認された場合には、公開予定日時を前倒しする可能性があるとのことです。

本情報の発信時点では、セキュリティリリースは公開されておらず、これらの脆弱性の影響を受ける詳細なバージョン情報や、修正バージョン情報なども確認できていません。

PHPを利用しているウェブサイトの運営者や、PHPを利用したウェブアプリケーションの開発者の皆様は、今後The PHP Groupが公開する情報を注視し、公開後、速やかにセキュリティリリースを適用するなどの対応ができるよう、事前準備をお願いします。可能な範囲で、開発・運用しているプログラムのうち、PHPを利用しているものを棚卸ししてください。

また、PHPは、ウェブアプリケーションだけでなく、ソフトウェア製品やネットワーク機器などの内部でも利用されている場合があります。
製品や機器の内部でのPHPの利用状況は、利用者側では把握できない場合があります。まずは、製品のマニュアルや、開発元・提供元が公開するセキュリティ情報などをご確認ください。公開情報などからPHPの利用が把握できている製品については、今後の情報を注視し、影響や対策が公表された場合に速やかに対応できるよう準備をお願いします。

現時点で、利用しているすべての製品について、内部でのPHPの利用有無を個別に確認することをお願いするものではありません。PHPの利用状況が不明な製品についても、引き続き開発元・提供元からの情報をご確認ください。

なお、これらの2つの脆弱性について、CERT-EUは、複数の情報源に基づき、CVE識別子をCVE-2026-109618およびCVE-2026-109619とする注意喚起を公表しています。また、同注意喚起では、PHP 5以降が影響を受けるとされています。

• Critical Vulnerabilities in PHP

影響を受けるシステム

• PHP

影響を受ける詳細なバージョン情報は、現時点では確認できていません。なお、CERT-EUの注意喚起では、PHP 5以降が影響を受けると記載されています。

対策

脆弱性の解消 - 修正プログラムの適用

現時点では、修正プログラムは公開されていません。今後The PHP Groupや各製品の開発元・提供元が公開する情報を確認し、修正プログラムの公開後、速やかに適用できるよう準備してください。

推奨対応

自組織で開発・運用しているプログラムや、利用している製品について、PHPの利用状況を可能な範囲で棚卸しし、速やかな対策の適用に向けて準備してください。

IPAが確認したところでは、サポート終了の古いPHPを利用し続けているウェブサイト・ウェブサービスも見受けられます。最近の情勢を踏まえると、攻撃者はこれらの脆弱性を悪用し、極めて短時間で攻撃を実行する可能性もあるため、パッチの公表後、可及的速やかに適用できるよう準備をお願いします。

脚注

1. 脚注1
   PHPの脆弱性（CVE-2024-4577）を狙う攻撃について