企業サイト・ブログ・ECサイトに注意：PHPの重大な脆弱性、10月21日夜に緊急修正版を公開予定

PHPはWebサーバー上で動作するプログラミング言語で、ログイン、問い合わせフォーム、コンテンツ管理、注文処理などに利用されています。

代表的な例は、企業サイトやブログで使われるWordPress、ECサイト向けのWooCommerce、Drupal、Magento／Adobe Commerceです。顧客ポータル、予約システム、管理画面など、独自開発のWebサービスでも利用されています。

ただし、すべてのWebサイトがPHPを使用しているわけではなく、PHPを使っているだけで今回の脆弱性の影響を受けるとも限りません。最終的な対象は公式アドバイザリのバージョンと条件で判断します。ShopifyなどのSaaS型サービスでは、基盤の保守は通常サービス提供者が担います。一方、自社で設置したWordPressや独自開発サイトでは、PHPの更新責任者を明確にすることが重要です。

PHPセキュリティチームによると、2件の脆弱性はいずれもCVSS v4.0で9.2／10、重大度は「Critical」です [1]。CVSSは脆弱性の技術的な深刻度を評価し、対応優先度の判断に活用される指標です。

CERT-EUは、CVE-2026-109618とCVE-2026-109619について、リモートコード実行（RCE）の可能性を指摘しています [2]。RCEとは、特定の攻撃条件が成立した場合に、第三者がサーバー上で不正なコードを実行できる脆弱性です。

事前予告の段階では、PHP側から詳細な攻撃条件、影響バージョン、修正済みバージョンは公表されていません。実際の対応対象は、公開後の公式情報で確認する必要があります。日本のIPAも、PHP利用組織に対して事前準備を呼びかけています [3]。

Webサーバーは顧客アカウント、個人情報、注文データ、社内システムとの連携などを担っています。RCEが悪用された場合の影響は、サーバーの設定や対象プロセスの権限によって異なります。

主なリスクは、情報や設定への不正アクセス、コンテンツ・データの改ざん、オンラインサービスの停止です。ECサイトが注文を受け付けられなければ売上に影響し、企業サイトの問い合わせフォームが停止すれば商談機会を逃す可能性があります。

今回の注意喚起は、サーバー上でPHPを実行する「PHPランタイム」に関するものです。WordPress本体、テーマ、プラグインを更新しても、ホスティング環境のPHPが修正されるとは限りません。

制作・保守を外部委託している場合は、社内IT部門、制作会社、保守ベンダー、ホスティング事業者の役割を確認してください。

確認事項は3つです。①本番サイトで実際に稼働しているPHPのバージョンは何か。②公式情報を確認し、影響有無を判断して修正版を適用する担当者は誰か、いつ対応できるか。③更新後にログイン、問い合わせフォーム、注文、決済、外部連携の動作を誰が検証するか。

注文・決済や顧客データを扱うサイトは優先度を高め、適用した修正内容と主要機能の検証結果をもって対応完了とする必要があります。

修正版の公開後に迅速に対応できるよう、以下の準備を進めます。

• PHP環境の棚卸し：Webサイト、API（システム間の接続口）、PHP-FPM、サーバー、コンテナを洗い出し、実際にWebリクエストを処理するPHPのバージョンを確認する。
• バックアップと切り戻し：データ・設定を保全し、更新に問題が生じた場合の復旧手順を用意する。
• 修正の配布経路：PHP公式、OSディストリビューション、Dockerイメージ、ホスティング事業者を確認する。既存版への修正取り込み（バックポート）では、表示されるPHPのバージョン番号が変わらないこともある。
• 更新後のスモークテスト：ログイン、フォーム、購入・決済、主要な連携機能を短時間で確認する。
• 監視：アクセスログ、エラーログ、不審な動作を継続して確認する。

適切な修正版が未提供、または展開に時間を要する場合は、業務への影響とセキュリティリスクを評価して一時的な軽減策を検討します。CERT-EUは、即時対応が難しい場合、インターネット公開アプリケーションの隔離を検討するよう勧めています [2]。

不要なアクセス権の制限、ログ監視の強化、WAF（Web Application Firewall：不審なWebリクエストを遮断・検査する仕組み）の活用などが考えられます。事業上の影響を確認したうえで、一部機能を一時停止する判断もあり得ます。

これらは修正版の適用に代わるものではありません。サポート終了済みのPHPについては、提供元の対応方針を確認し、必要に応じてサポート対象バージョンへの移行を計画します。

Webサイトの制作会社とホスティング事業者が異なる場合、保守責任の境界が曖昧になり、重大な更新が遅れることがあります。

企業には、対象システムの特定、担当者の決定、修正適用、結果の検証までを一連の手順として定めることが求められます。今回のPHPに関しては、公式の修正版にすぐ対応できる準備を進め、顧客向けの重要機能の安定稼働を確保することが優先です。

日常の保守だけでなく、新しいセキュリティリスクに素早く対応できる体制が、事業継続を支えます。