修正版が出るまでの、まる2日

見つかったのは、PHPの心臓部にあたる処理の脆弱性2件です（CVE-2026-109618、CVE-2026-109619）。悪用されると、ログインしていない第三者が、Webサーバーの上で好きなプログラムを動かせるおそれがあります。通称は「php2shell」。

影響はサポート中の版だけでなく、すでにサポートが終わった古い版にもおよびます。使われている範囲があまりに広いため、修正版の公開前から日本中で準備が始まりました。

2026/10/20
修正版の公開日時が予告される
PHPの開発チームが、深刻な脆弱性2件の修正版を日本時間21日23時に出すと予告。利用者に準備を呼びかけました。
10/21 21:55
首相がXで呼びかけ
高市首相が、その夜23時に公開される修正版の適用に備えるよう投稿。すぐに直せない場合は、サイトの一時停止も有効な手段の一つだと触れました。
10/21 23:00
修正版が公開される
PHP 8.5.12／8.4.27／8.3.36／8.2.35 が公開。同じころ、ソフトバンクの会員ページやマネックス証券の新規口座開設などが予防のために一時停止しました。
2026/10/22
JPCERT/CCが注意喚起
国内で広く使われているとして、すぐに修正版を適用するよう呼びかけました。翌23日には、関連する別の脆弱性（CVE-2026-115560）も公表されています。
2026/10/26
攻撃の試みが観測される
検証用の攻撃コードが複数公開され、攻撃の試みが観測されていると更新されました。成功するかどうかは版や環境に左右されます。

なぜ、ここまでの騒ぎになったのか

理由は3つあります。1つめは使われている範囲の広さ。WordPressもEC-CUBEもLaravelも、土台はPHPです。2つめは認証がいらないこと。ログイン画面の外から狙えます。3つめが、古い版のまま動いているサイトの多さです。

69.2%

サーバー側の言語が分かるWebサイトのうち、PHPを使っている割合。WordPressやEC-CUBEもPHPで動いています。

34.5%

PHPを使うサイトのうち、公式のサポートがとうに終わった7系以前で動いている割合。修正版が出ても届きません。

制作会社に任せたまま、自社サイトがPHPで動いているのか、どの版なのかを知らない。中小企業ではめずらしくありません。今回あわてた会社の多くも、まずそこを調べるところから始めています。

PHPは系列（8.4、8.3など）ごとに修正版が出ています。自社サイトの系列を確かめ、下の表に当てはめてみてください。

系列修正済みの版サポート期限

8.58.5.12 以降2029年12月31日まで

8.48.4.27 以降2028年12月31日まで

8.38.3.36 以降2027年12月31日まで

8.28.2.35 以降2026年12月31日で終了

8.1 以前公式の修正なしすでに終了

8.1以前はPHP公式のサポートが終わっているため、修正版は出ません（JPCERT/CCは最小限の緩和策のみと説明）。出典：PHP公式・JPCERT/CC

確かめたい4つ

点数が9.2だから怖いのではありません。自分のサイトで動いていて、外から届くから怖いのです。同じくらい、あるいはそれ以上に深刻な脆弱性は、今年も次々と見つかっています。

ドメインを入力するだけで、外から見えるソフトの版と、公開済みの脆弱性を無料で照合します。

※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。