Jeans & Development：2026年 10月の記事
PHPの脆弱性公開にまつわる混乱についての雑感 [セキュリティー]
2026年10月26日
PHPは10月21日付で、攻撃者によるリモートコード実行につながる可能性のある深刻な脆弱性の存在と、その脆弱性を修正した新しいバージョンを公開しました。
影響を受けるのは、PHP 5.4 以降のすべての PHP の様です。PHP は、セキュリティーフィックスを行った次のバージョンを公開しています。
・PHP 8.5.12
・PHP 8.4.27
・PHP 8.3.36
・PHP 8.2.35
また、同様の脆弱性はPHP 5.4-8.1でも確認されていますが、これらのバージョンはサポート対象外なので、PHPによる修正バージョンの公開はされていません。
従って、PHP で web ページを構築している場合、PHPのバージョンを上に挙げた４つのうちのどれか一つに上げる必要があります。PHP スクリプトが、古いPHPでは実行できるが PHP 8.2 以上では実行できない場合は、PHP 8.2 以降で実行できるようにスクリプトを修正するか、web サイトで用いているPHPについて、今回の脆弱性を修正するための独自のパッチをあてたものに変更する必要があります。これを行わないと、近い将来、リモートコード実行の攻撃を受けてしまう可能性が非常に高いです。
影響を受けるのは、PHP 5.4 以降のすべての PHP の様です。PHP は、セキュリティーフィックスを行った次のバージョンを公開しています。
・PHP 8.5.12
・PHP 8.4.27
・PHP 8.3.36
・PHP 8.2.35
また、同様の脆弱性はPHP 5.4-8.1でも確認されていますが、これらのバージョンはサポート対象外なので、PHPによる修正バージョンの公開はされていません。
従って、PHP で web ページを構築している場合、PHPのバージョンを上に挙げた４つのうちのどれか一つに上げる必要があります。PHP スクリプトが、古いPHPでは実行できるが PHP 8.2 以上では実行できない場合は、PHP 8.2 以降で実行できるようにスクリプトを修正するか、web サイトで用いているPHPについて、今回の脆弱性を修正するための独自のパッチをあてたものに変更する必要があります。これを行わないと、近い将来、リモートコード実行の攻撃を受けてしまう可能性が非常に高いです。