PHP本体に重大な脆弱性2件（CVE-2026-109618 / 109619）— 10/21 23時に修正版、公開されたらすぐ更新を

この記事は 10月21日 17時（日本時間）時点の情報です。修正版が公開されたら追記します。

何が起きたのか

10月20日、PHP の開発チームが「重大な脆弱性2件を直す、緊急のセキュリティリリースを出す」と予告しました。番号は CVE-2026-109618 と CVE-2026-109619 です。

本来は公表の日取りを決めて、修正版と同時に知らせる段取り（いわゆる「非公開期間」）でした。ところが、その前に掲示板へ情報が書き込まれ、攻撃ツールらしき画面の画像まで出回ってしまいました。セキュリティ会社の watchTowr は、少なくとも1件を再現できた＝本物だと確認しています。

さらに、攻撃ツールはすでにダークネットで出回っています。神戸ソフトのセキュリティチームはこのツールを入手して検証し、実際にサーバーを乗っ取れることを再現しました。「修正版が出てから攻撃がはじまる」のではなく、今この時点で攻撃できる状態だと考えてください。

PHP チームは公開を1日早め、日本時間 10月21日 23:00 に修正版を出すとしています。状況しだいでは、さらに早まる可能性もあります。

わかっていること・まだわからないこと

項目	状況（10/21 17時時点）
深刻度	CVSS v4.0 で 9.2（PHP 公式）。10.0 とする報道もある
種類	遠隔からのコード実行（RCE）
対象のバージョン	未発表。PHP 5〜8 の広い範囲に及ぶという報道あり
攻撃の条件	公式には未発表。multipart/form-data 形式のリクエストの遮断が臨時対応として有効
攻撃ツール	ダークネットで出回っている。神戸ソフトで入手し、サーバーの乗っ取りを再現済み
修正版	10/21 23:00（日本時間）に公開予定

気をつけたいのは「古い PHP」

PHP が今も修正版を出しているのは 8.2 以降です。8.1 以前はサポートが終わっているため、今回の修正版は出ない見込みです。

古いまま動いているサイトは意外と多く、たとえば「何年も前に作ってもらったまま」の会社サイトや、更新の止まった業務システムがあたります。こうしたものは更新では直せないので、別の手を考える必要があります。

臨時対応：multipart/form-data を遮断する

修正版を当てるまでのあいだは、multipart/form-data 形式のリクエストを遮断することが有効です。WAF やWebサーバーの設定で、この形式のリクエストをはじくようにします。

multipart/form-data は、主にフォームからファイルを送るときに使われる形式です。遮断すると、次のような機能が使えなくなります。

• 問い合わせフォームなどのファイル添付
• WordPress などの管理画面からの画像・ファイルのアップロード
• 応募フォーム・申込フォームでの書類の送信

使えなくなる機能があることを社内に伝えたうえで、修正版を当てたら元に戻す前提で入れましょう。設定は保守会社・事業者にお願いするのが確実です。参考までに、Webサーバーで遮断する設定の例です。

# nginx（server ブロックの中）
if ($content_type ~* "multipart/form-data") {
    return 403;
}

# Apache（mod_rewrite）
RewriteEngine On
RewriteCond %{CONTENT_TYPE} multipart/form-data [NC]
RewriteRule ^ - [F]

やること

今日のうちに（修正版が出る前）

1. PHP で動いているものを洗い出す
   会社サイト（WordPress など）、EC サイト、問い合わせフォーム、社内の業務システム、管理画面つきの製品など。自社で把握していなければ、制作会社・保守会社に聞きましょう。
2. それぞれ「誰が更新するのか」を決める
   レンタルサーバーなら事業者、保守契約があればその会社、自社管理なら自社です。
3. 保守会社・事業者に連絡を入れておく
   10/21 23時の公開に合わせた対応をお願いしておくと、公開後すぐに動いてもらえます。
4. multipart/form-data の遮断を入れる
   上の臨時対応です。インターネットに公開しているものから先に。

修正版が出たら

5. インターネットに公開しているものから先に更新し、済んだら臨時の遮断を外す
6. PHP 8.1 以前のものは、バージョンアップの計画を立てつつ、それまでの間は外から見えなくする（社内からだけ使えるようにする・一時停止する）、WAF で守るなどを検討する

そのあとも

7. 更新が済むまでの間に入られていないか、見慣れないファイルが増えていないかなどを確認してもらう

まとめ

• PHP 本体の脆弱性なので、PHP で動いているものは基本的に全部が確認の対象
• 攻撃ツールはすでに出回っていて、サーバーを乗っ取れることも再現されている
• 修正版までは multipart/form-data の遮断でしのぐ（ファイル添付などは止まる）
• 今日のうちに洗い出し・連絡・遮断、出たらすぐ更新。古い PHP は別途、手を打つ