この記事の目次
対象と前提
PHPで動くサイトやアプリを管理する人向けです。AIにコードを書いてもらったかどうかではなく、公開先でPHPが動くかを確認します。WordPressなどを利用していても、自分でPHPを導入した覚えがない場合があります。
この教材は2026年10月の更新事例です。現在の対応はPHPの公式発表と利用する提供元の情報で確認してください。静的なファイル配信だけを、PHPを実行する環境と同じ対象として扱いません。
仕組みをつかむ
調べる場所は、公開サイトの実行環境
- 手元のPHP
PC上で確認した実行ファイルと版。
- 公開サイトのPHP
ホスティング側で実際に動く環境。
手元のPHPの版が分かっても、公開サイトや起動中の処理へ修正が反映された証明にはなりません。
ランタイムはコードを実行する基盤です。アプリのコードを直すことと、PHP自体の修正を反映することは別の作業です。レンタルサーバー、OSのパッケージ、コンテナーなど、導入先に合う更新方法を選びます。
想定リスク
表がはみ出す場合は、横にスクロールして読めます。
| 状況 | 見落とすこと | 確認する先 |
|---|---|---|
| 手元だけ更新した | 公開サイトのPHPが古い | ホスティングや本番環境 |
| 表示された番号だけ比較した | 提供元が修正をバックポートしている場合がある | 提供元の対象パッケージと告知 |
| プラグインだけ更新した | PHP本体の修正は別 | PHPの稼働版と更新手順 |
| 修正版の番号が一致した | 別の問題や追加条件は残りうる | 最新の追加案内と自分の設定 |
バックポートは、元の系列を保ちながら修正を取り込むことです。番号だけで未修正と決めず、提供元の告知と対象パッケージを照合します。
過去の事例から学ぶ
分類：脆弱性の公表。 PHPは2026-10-21、CVE-2026-109618とCVE-2026-109619の修正を公開しました。条件がそろうと認証前の遠隔コード実行につながり得る問題です。PHP公式とIPAの注意喚起を根拠にしています。
表がはみ出す場合は、横にスクロールして読めます。
| 系列 | この2件の上流修正版 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
これらはこの更新の基準で、将来の安全を保証する数字ではありません。公式は複数のWeb実行方式を対象に挙げていますが、個々のサイトで攻撃が成立したことや、侵害されたことをこの表だけで判断しません。
2026-10-23の追加案内は別に扱います。 セッションの設定と実行中の変更が特殊な形で組み合わさる問題について、PHPは追加案内を公表しています。公式の条件説明を参照し、21日の修正版へ更新しただけで追加確認も不要とはしません。設定変更を全環境へ一律に適用する手順ではありません。
誰が何を確認するか
表がはみ出す場合は、横にスクロールして読めます。
| 役割 | 確認すること | 方法 |
|---|---|---|
| サイト所有者 | PHPの利用と管理する提供元 | 契約・管理画面のサイト情報 |
| ホスティング管理者 | 実際に動く系列と修正対応 | 提供元の告知と対象パッケージ |
| 開発・運用担当 | 反映、再起動の要否、互換性 | 更新手順とテスト結果 |
一つ確かめてみる
過去の案内と、現在の確認先を分ける
- 2026年10月の事例
21日の修正と23日の追加案内を読む。
- 現在の提供元情報
自分のサービスへの適用状況を確認。
- 反映と動作
実行環境とアプリの結果を照合。
まず、提供元の情報から調べよう。
レンタルサーバーを使う人は、まず提供元の管理画面と今回の対応告知を確認します。「どのサイト・PHP系列・パッケージが対象で、どこまで反映済みか」が分からなければ、サポートへ確認します。秘密を含む設定全文を公開する必要はありません。
端末で文字を入力して操作するCLIに慣れた人が、自分の管理する端末で導入済みPHPを調べる場合は次の表示を使えます。PHPがなければ、この確認のためにインストールする必要はありません。
php -v
php --ini公式のCLI説明にある版・設定ファイルの表示です。Web側のPHPの版や設定とは一致しないことがあります。出力には内部パスが含まれるため、共有前に伏せます。公開ページへ診断情報を出す手順は使いません。
緩和策は更新の代わりと決めつけず、JPCERT/CCの案内と提供元に確認します。互換性や可用性への影響を評価せず、メモリ制限の解除や本番停止を一律に実行しないでください。
確認チェックリスト
- 対象： PHPを動かすサイトと、その提供元を特定できた。
- 修正： 上流版か提供元の修正パッケージかを区別し、対象への反映を確認した。
- 追加案内： 23日の条件を別に確認し、該当不明を対象外としていない。
- 動作： 更新後のログイン・フォーム・アップロードなど、自分のサイトの主要機能を確認した。
- 侵害調査： 不審な変更やアクセスがある場合、更新したことだけで解決済みとしない。
次の行動
公開設定全体は公開前の確認へ。不審なファイルやアクセスなどがあれば、異常時の対応で調査と復旧を分けます。
一次資料
- PHP：2026年10月21日の公式発表
- PHP：2026年10月23日の追加案内
- IPA：PHPの脆弱性対策
- JPCERT/CC：注意喚起
- PHP：CLIのオプション
- PHP Foundation：発見・修正の経緯
書いた人
マーケティングの現場から、AIをつくり、仕事で使う側へ。実際に試したことや、つまずいたことを、図解と具体例で伝えています。
この記事のURL：https://nekoai-lab.github.io/ai-security-playbook/learn/php-october-2026/
