PHPの開発チームが、重大な脆弱性2件を修正するセキュリティリリースを予告しています。WordPressなどのサイトを運営している方は、まず制作会社・保守担当者やサーバー会社に、自分のサイトへの影響と、誰がいつ対応するかを確認してください。
PHPのバージョンや管理画面の場所が分からなくても、問い合わせは始められます。この記事では、担当者へ送れる確認文と、返答に応じた進め方を紹介します。この発表だけで、自分のサイトがすでに被害に遭っていると判断できるわけではありません。
まず、管理担当者にこの3点を確認する
確認したいのは、PHPを使っているか、今回の修正が必要な環境か、対応の担当と予定です。すでに制作や保守を任せている場合は、次のように連絡できます。
PHPの重大な脆弱性に関するセキュリティリリース予告を見ました。当社サイトでPHPを使っているか、今回の影響対象かをご確認いただけますか。正式な影響条件がまだ出ていない場合は、公表後の確認と、修正の対応予定も教えてください。サーバー会社側の対応だけで完了するのか、当社側で必要な作業があるのかも確認したいです。
サイトのURLを添えれば、利用環境が分からなくても最初の確認を依頼できます。確認のために、パスワードを通常のメールへ書き添える必要はありません。
PHPはサイトの裏側で処理を動かすためのプログラミング言語で、WordPressも利用しています。WordPress以外の業務システムでも使われるため、予約・注文などを別システムで受け付けている場合は、その担当者にも確認するとよいでしょう。WordPress公式：サーバー情報の確認
担当者から利用バージョンを尋ねられた場合、WordPressでは管理画面の「ツール → サイトヘルス → 情報」でサーバー情報を確認できることがあります。権限や環境によって表示は異なるので、見つからなければ「不明」と伝えて構いません。
現時点で、何が発表されているのか
PHP公式の発表で確認できるのは、次の内容です。
- 重大な脆弱性2件を修正するセキュリティリリースを予定していること。
- 2件とも、深刻度の評価がCVSS v4.0で9.2であること。
- 公開予定が2026年10月21日23:00（日本時間）であること。
- 詳細、影響バージョン、修正版番号は、リリースに合わせて公表すること。
予定時刻は変更される場合があります。また、深刻度の数値は、個々のサイトが被害に遭う確率を表すものではありません。
CERT-EUの注意喚起には、CVE-2026-109618／CVE-2026-109619の識別番号と、認証なしで遠隔からコードを実行される可能性が記載されています。一方、影響範囲等には公開前の流出情報を参照した記述もあるため、本記事ではPHP公式が確定した影響範囲として扱いません。
現段階では、利用バージョンだけで自分の環境への影響を断定できません。「古いPHPだけが対象」「WordPress本体やプラグインを更新すれば対応完了」と決めつけず、正式な影響条件と照合する必要があります。
担当者からの返答に応じて、次の対応を決める
「サーバー会社が対応する・対応済み」と言われた場合は、自分のサイトで稼働するPHPにも今回の修正が適用されるか、利用者側の切り替えや再起動などが必要かを確認します。事業者が個別に修正を反映する場合もあるため、バージョン番号だけで判断せず、その事業者の告知と回答を確かめます。
「利用者側で更新が必要」と言われた場合は、誰が作業するかを決め、バックアップと復元方法、サイトとの互換性を担当者と確認します。更新後には、表示だけでなく問い合わせ・予約・購入など必要な機能も確認します。メジャーバージョンの切り替えだけで完了とせず、必要な修正の適用まで確かめることが大切です。
「まだ影響が分からない・すぐには修正できない」と言われた場合は、次に確認する時期と、それまでの対応を相談します。公開システムの外部アクセスを限定する、一時的に公開を止めるなどが選択肢です。CERT-EUも、直ちに修正できない公開システムのネットワークからの隔離を検討するよう勧告しています。業務への影響もあるため、担当者と実施方法を決めてください。メンテナンス画面を表示するだけでは、サーバーへのアクセスを制限できるとは限りません。CERT-EUの勧告
攻撃が成立した場合、どんな影響があり得るか
「遠隔コード実行（RCE）」とは、外部の攻撃者が対象サーバー上で意図しないプログラムを実行できる状態です。ここからは、こうした攻撃が成立した場合の一般的な影響を説明します。今回、以下の被害が実際に確認されたという説明ではありません。
影響の範囲は、PHPが読み書きできるファイルや、接続できるデータベース・外部サービスの権限によって変わります。次の例は、そうした権限やアクセス条件がある場合の可能性です。PHP公式：ファイルシステムの権限とセキュリティ
保存された情報へのアクセス
顧客情報、問い合わせ履歴、予約・注文情報、アップロードした書類など、侵害された処理からアクセスできる情報が読み取られる可能性があります。
例えばWordPressの設定ファイルには、データベース接続情報が含まれます。これを読み取られ、接続等の条件もそろうと、その認証情報に与えられた範囲でデータベースを操作される可能性があります。WordPress公式：設定ファイルの説明
サイトの改ざんや、その後の入力への影響
ファイルやデータの書き換えが可能なら、連絡先・振込先の変更、不正なリンクの掲載、別サイトへの転送などにつながる可能性があります。
フォーム等を改ざんされると、改ざん後に新しく入力される情報が外部へ送られる可能性もあります。過去の問い合わせをサイトに保存していないことだけで、影響を否定することはできません。
受付・販売の停止や、連携サービスへの影響
データの削除、不正な処理による高負荷などで、サイト表示や問い合わせ・予約・販売の機能が停止する可能性があります。
メール送信や外部連携の認証情報を取得された場合は、その認証情報の権限の範囲で不正利用される可能性があります。他のサイトへの波及についても、権限や認証情報の共有、接続経路などの条件によって変わります。
侵入を続けるための仕掛け
書き込み等が可能な環境では、不正なファイルなどを残され、その後もアクセスされる可能性があります。こうした継続的なアクセスの手段は、一般にWebシェルなどとして知られています。MITRE ATT&CKの説明
これらは、サーバー全体の管理権限や、訪問者の端末まで自動的に侵害されるという意味ではありません。一方、サイトが普通に表示されることだけでも、異常がないとは確認できません。 対象環境と修正状況を確かめることが必要です。
侵入が疑われる場合は、更新だけで終わらせない
修正版への更新は、今回の脆弱性を使った侵入経路への対策です。すでに侵入されていた場合、残された不正ファイル、変更されたデータ、取得された認証情報などが、更新によって元に戻るとは限りません。
異常が疑われるときは、むやみにファイルを消したり上書きしたりせず、サーバー会社や保守担当者に相談し、ログ等の保全、調査、必要に応じた復元・再構築や認証情報の失効・再発行を進めます。バックアップは復旧に役立ちますが、持ち出された情報を回収できるものではありません。
大切なのは、被害を断定して慌てることではなく、利用環境・担当者・更新方法を確認し、正式な情報に基づいて対応することです。
サイトの管理担当や確認先が分からない場合は、KWSのお問い合わせ窓口でもご相談を受け付けています。