PHPの重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」への対応とWebサイトの安全な運用について

今回公表された脆弱性は、以下の2件です。

• CVE-2026-109618：メモリ不足時の処理に関連する脆弱性

• CVE-2026-109619：解放済みメモリの不適切な利用に関連する脆弱性

いずれも、条件によっては認証されていない第三者によるリモートコード実行につながる可能性があります。

PHP公式は、PHP 8.5.12、8.4.27、8.3.36、8.2.35を修正版として公開し、該当するバージョンを利用している環境に対してアップデートを推奨しています。

なお、PHP 8.1以前はPHP公式の通常のセキュリティサポートが終了しているため、利用中のサーバー事業者が独自に修正を提供しているかを確認するか、サポート対象のバージョンへの移行を検討する必要があります。

今回の脆弱性に対し、夢双では自社サイトの対応に加え、過去に制作をご依頼いただいたお客様からのご相談や対応依頼にも取り組んでいます。

1. 自社サイトのPHPバージョンアップ

夢双の公式サイトでは、PHPを修正版の 8.3.36 へアップデートしました。

また、アップデート後のサイト表示や主要機能の動作を確認し、システムエラーが発生していないかを確認しています。

PHPの更新は、単にバージョン番号を変更するだけではなく、更新後もWebサイトが正常に動作することを確認することが重要です。

2. 過去に制作をご依頼いただいたお客様からのご相談・対応

今回の発表を受け、過去にWebサイト制作をご依頼いただいた複数のお客様から、PHPの脆弱性に関するお問い合わせや対応のご依頼をいただいています。

Webサイトの安全性は、制作時点で確保すれば終わりというものではありません。

PHPやCMS、各種ライブラリなどの更新状況を継続的に確認し、必要に応じて適切な対応を行うことが重要です。

夢双では、それぞれのサイトの構成やサーバー環境を踏まえ、必要な対応を確認しながら進めています。

3. 過去に制作したWebサイトの一時的なメンテナンス表示

一部のWebサイトでは、セキュリティ上のリスクやサーバー側の対応状況を踏まえ、サイトを一時的にメンテナンス表示へ切り替える対応も行っています。

メンテナンス表示は、サイトの利用を一時的に制限し、利用者への案内を行うための措置です。

ただし、メンテナンス画面を表示するだけでPHPの脆弱性そのものが修正されるわけではありません。

そのため、サーバー側の対策状況やPHPの更新可否を確認し、必要なアップデートや動作確認につなげることが重要です。

今回の脆弱性に対応するため、PHP公式から修正版が公開されています。

利用しているPHPのバージョンに応じて、以下のバージョン以上へのアップデートが推奨されます。

※上記は今回の脆弱性に対する修正済みバージョンです。アップデートの際は、利用中のサーバー環境やPHPの対応状況を確認してください。

なお、PHP 8.1以前など、PHP公式による通常のセキュリティサポートが終了しているバージョンを利用している場合は、単純なバージョンアップだけでなく、サポート対象のPHPへの移行も検討する必要があります。

ただし、レンタルサーバーやディストリビューションによっては独自に修正パッチが提供されている場合もあるため、提供元の案内も確認しましょう。

ロリポップが独自に旧PHPバージョンも対応されたというXでの投稿もございました。

PHPのアップデート後は、Webサイトが正常に表示されるか、フォームやCMSなどの機能が問題なく動作するかを確認することが重要です。

今回のような脆弱性への対応では、発表された時点での対処だけでなく、継続的な管理体制も重要になります。

1. PHPのバージョンとサポート状況を確認する

まずは、運用しているWebサイトがどのPHPバージョンで動作しているかを把握する必要があります。

修正版が提供されている場合は、対象のバージョンへ更新します。

古いバージョンを利用している場合は、サーバー事業者による修正提供の有無を確認し、必要に応じてサポート対象のPHPへ移行します。

2. CMSや関連ソフトウェアも更新する

PHP本体だけでなく、WordPressやProcessWireなどのCMS本体、追加モジュール、プラグイン、ライブラリなどについても、更新情報を確認することが重要です。

今回の問題はPHP本体に関するものですが、Webサイト全体の安全性を維持するためには、関連するソフトウェアも適切に管理する必要があります。

3. アップデート後の動作確認を行う

PHPのバージョンを変更すると、既存プログラムとの互換性によってエラーが発生する場合があります。

そのため、アップデート後には以下のような項目を確認します。

• トップページや下層ページが正常に表示されるか

• CMSの管理画面へ正常にログインできるか

• フォームや検索などの主要機能が動作するか

• PHPエラーログやサーバーのシステムログに異常がないか

更新作業と動作確認をセットで実施することで、セキュリティ対策とサイトの安定稼働を両立しやすくなります。

4. バックアップと復旧手順を整備する

アップデートや設定変更を行う前には、Webサイトのファイルやデータベースのバックアップを取得しておくことが重要です。

また、障害が発生した場合に備え、復旧手順やサーバー事業者への問い合わせ先を整理しておくことで、トラブル発生時の対応を進めやすくなります。

5. 緊急時の対応体制を整える

重大な脆弱性が公表された場合、サーバー事業者側のメンテナンスや一時的な機能制限によって、利用者自身ではすぐに更新できないこともあります。

そのような状況では、サーバー事業者の公式情報を確認し、適用可能な対策を検討するとともに、必要に応じてサイトの一時停止やメンテナンス表示を行うなど、状況に応じた対応が必要です。

今回のPHPの脆弱性は、Webサイトを運用するうえで、実行環境の更新と継続的な管理が重要であることを改めて示すものです。

夢双では、自社サイトのPHPアップデートと動作確認を実施するとともに、過去に制作をご依頼いただいたお客様からのご相談や対応依頼にも取り組んでいます。

Webサイトは公開して終わりではなく、公開後も安全性や動作状況を確認し、必要なメンテナンスを継続することが重要です。

PHPのバージョンアップやCMSの保守、システムエラーの調査など、Webサイトの運用に関してご不安な点がございましたら、お気軽に夢双までご相談ください。

今回の脆弱性は、すべてのWebサイトに影響しますか？

すべてのWebサイトが同じ条件で影響を受けるわけではありませんが、対象となるPHPバージョンを使用している環境では注意が必要です。

利用中のPHPのバージョンと、サーバー事業者による修正の適用状況を確認してください。

PHPのバージョンを更新すれば、セキュリティ対策は完了しますか？

今回の脆弱性への対策として修正版への更新は重要ですが、それだけでWebサイト全体の安全性が保証されるわけではありません。

CMSや関連ソフトウェアの更新、アクセス権限の管理、バックアップ、ログの確認なども必要です。

WordPressやProcessWireなどのCMSも更新する必要がありますか？

今回の脆弱性はPHP本体に関するものです。

ただし、CMS本体や追加モジュールにも別の脆弱性が見つかることがあるため、それぞれの公式更新情報を確認し、必要に応じて更新することをおすすめします。

PHPのバージョンを更新できない場合は、どうすればよいですか？

サーバー事業者のメンテナンスや提供バージョンの制限などで更新できない場合は、事業者の公式情報を確認し、今回の脆弱性への対応状況を問い合わせてください。

必要に応じて、一時的なアクセス制限やメンテナンス表示なども検討します。

ただし、メンテナンス表示だけでは脆弱性そのものは修正されません。

PHPの更新後にサイトが正常に動作しなくなった場合は？

PHPのバージョン変更によって、既存プログラムやライブラリとの互換性の問題が発生することがあります。

エラーログを確認して原因を切り分け、必要なプログラム修正を行います。

更新前のバックアップを取得しておくことも重要です。

PHPの脆弱性対応やWebサイトの保守を依頼できますか？

はい。PHPのバージョン確認・更新、更新後の動作確認、システムエラーの調査、CMSの保守など、サイトの構成やサーバー環境に応じて対応内容をご相談いただけます。

まずは現在の状況をお知らせください。