PHP、重大な脆弱性2件の修正版を公開。4系列で即時更新を呼びかけ
「今夜、修正版が出る」という予告から、更新版の公開へ。ウェブサイトを動かすプログラミング言語PHPで、認証なしに外部からコードを実行されるおそれがある重大な脆弱性2件が修正された。
PHP公式ロゴ Colin Viebrock / CC BY-SA 4.0
画像の出典・利用条件
Colin Viebrock / CC BY-SA 4.0。白背景・全体縮小・WebP化。OG余白追加。加工画像もCC BY-SA4.0。写真の派生画像も同じライセンスで提供。撮影時期・元画像は出典リンクで確認できます。
PHP開発元は10月21日（UTC）、8.5.12／8.4.27／8.3.36／8.2.35を公開した。対象はCVE-2026-109618とCVE-2026-109619。事前告知では、どちらも深刻度の指標CVSS v4.0が9.2とされていた。
公式勧告は、ウェブからのリクエストを処理するPHP環境に危険があると説明し、速やかな更新を強く推奨している。利用環境によって配布元の修正版が提供されるため、詳しい対応は開発元やホスティング事業者の案内を確認したい。
国家サイバー統括室も21日夜、更新の適用を呼びかけた。22日朝の確認時点で、原投稿は約301万表示。以下は公開時の注意喚起だ。
投稿の要旨（編集部）国家サイバー統括室が10月21日22:57、PHP更新プログラムの公開を伝え、速やかな適用を呼びかけた。
Xで原投稿を読む
Xの投稿は、表示されない場合も原投稿で確認できます。
Xで原投稿を読む ↗英語の案内に戸惑い、対応する人への声も
返信には「英語で分からん」という戸惑いや、エンジニアを頼りにする声があった。個々の返信は感想であり、被害が発生した証拠ではない。
投稿の要旨（編集部）英語の公式案内を見て、内容が分からないと戸惑う返信。
返信をXで読む
Xの投稿は、表示されない場合も原投稿で確認できます。
Xで原投稿を読む ↗投稿の要旨（編集部）対応するエンジニアに、頼りにしていると声をかける返信。
返信をXで読む
Xの投稿は、表示されない場合も原投稿で確認できます。
Xで原投稿を読む ↗今回はスマホのOS更新の話ではなく、サイトを動かすPHPの更新情報。具体的な影響や復旧状況は、利用しているサービスの公式発表と分けて確認したい。