PHPの脆弱性、自社サイトは対応済み？保守会社への確認ガイド

PHPの脆弱性について、自社サイトが対応済みかを確かめたい。まずはサイトのURLを添えて、現在の保守担当者に確認を依頼してください。必要なのは、どの環境に何の修正が適用され、何が確認中なのかという、自社サイトについての回答です。

サーバー会社の「対応済み」というお知らせを見ても、制作会社に連絡したほうがよいのか迷うことがあります。サーバーの契約先とサイトの保守担当が別なら、なおさらです。技術者ではない企業のWeb担当者に向けて、今回の告知の読み方と、そのまま使える確認文を整理しました。

10月21日の修正と、23日の追加告知を確かめる

2026年10月21日、PHPの開発元は、外部から認証なしで任意のプログラムを実行されるおそれがある重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）の修正版を公開しました。PHPは、WordPressなどのWebサイトをサーバー上で動かすためのソフトウェアです。今回、修正対象になっているのはPHP本体です。WordPressやプラグインの更新だけで、PHPの対策まで済んだとは判断できません。

初期2件の修正版は、PHP 8.2.35、8.3.36、8.4.27、8.5.12です。利用中の系列に対応する修正版、または提供元が用意した修正の適用状況を確認します。詳しい条件はPHP開発元の10月21日の告知で確認できます。

続いて10月23日には、別の脆弱性（CVE-2026-115560）について追加告知がありました。特定の設定と、アプリケーションがセッション情報の処理方式を実行中に切り替える動作などが重なった場合の問題です。開発元は、セッションのアップロード進捗機能の無効化を案内する一方、実行中に処理方式を変更しないアプリケーションでは同機能を有効のままにできると説明しています。

「21日の修正版へ更新したか」に加えて、「23日の追加条件に該当するか」も保守担当へ確認してください。担当者が利用環境を調べて判断する項目です。PHP開発元の追加告知を一緒に渡すと、確認する対象がそろいます。

サーバー会社の「対応済み」を、自社サイトと結びつける

提供元の告知は、自社が使っているサービスとPHP環境が対象に含まれるかを確かめて読みます。同じ会社でも、利用サービスや契約形態によって、誰が更新を担当するかは異なります。

たとえばエックスサーバーは、10月23日更新の案内で、レンタルサーバーサービスについて、提供するPHP 5.6〜8.5への修正適用が完了したと公表しています。PHP 5.6〜8.1はバージョン番号を変えずに対策し、8.2〜8.5は同じ系列の修正版へ更新したという説明です。この範囲の利用者について、今回の対策として急いでPHPのバージョンを変更する必要はないとしています。一方、XServer VPSなどは利用者自身による対策が必要としています。エックスサーバーの対応状況

このように、表示される番号が古いままでも、提供元の修正が入っている場合があります。番号だけで未対応と決めず、自社サイトが使う環境と、提供元が修正した範囲を結びつけることが必要です。逆に、告知の更新日が23日だからといって、23日に追加された別の脆弱性まで対策済みとは読み取れません。何に対する修正なのかを確かめます。

技術担当には、Webサイトを実際に動かしているPHP環境を確認してもらってください。管理作業に使うコマンド用のPHPと、Web表示に使うPHPが同じとは限りません。複数のサイトや古い公開ディレクトリがある場合も、それぞれが確認の対象です。

保守会社に送る確認文

問い合わせ先は、現在サイトの更新・障害対応を担当している会社や社内担当者です。制作した会社が、今も保守を担っているとは限りません。分からなければ、サーバーの契約書や更新費用の請求先を確認し、担当範囲を尋ねるところから始められます。

次の文面のURLと返信希望日時を書き換えて送ると、確認したいことを一通にまとめられます。

件名：当社WebサイトのPHP脆弱性への対応状況確認

お世話になっております。
今回のPHPの脆弱性について、下記サイトの対応状況を確認したく、ご連絡しました。

対象サイト：［自社サイトのURL］

当該サイトの実際の稼働環境は、今回の脆弱性の影響を受ける対象でしょうか。

10月21日公表の2件（CVE-2026-109618、CVE-2026-109619）について、何の修正をいつ適用したか、提供元の対応案内などの根拠とあわせてお知らせください。

10月23日の追加告知（CVE-2026-115560）の条件に該当するか、確認・対応の状況をお知らせください。

不審な動作や改ざんなど、侵害の有無について、確認した範囲と結果をお知らせください。

未対応・未確認の項目がある場合は、対応担当、完了見込み、当社側で必要な作業をお知らせください。

まずは［日時］までに、現時点の状況と今後の見通しをご返信いただけますと幸いです。
よろしくお願いいたします。

すぐにすべての調査が終わらない場合も、対象かどうか、修正の適用状況、次に返答をもらえる時点が分かれば、社内での判断を進められます。「何か分かったら連絡をください」で終わらせず、残る項目の担当と次回の報告時点を合わせておくと、その後の確認が途切れません。

「修正した」と「侵害されていない」は別の確認

PHPの修正適用は、過去に侵害を受けていないことの証明にはなりません。JPCERT/CCは、修正の適用とともに、侵害の有無の調査を求めています。また、攻撃手法やログの保存状況によっては痕跡が残らず、痕跡が見つからないだけで攻撃を受けていないとは断定できないと説明しています。JPCERT/CCの注意喚起

そのため、保守担当から「更新しました」と返答があったら、調査についても何をどこまで確認したのかを受け取ります。不審な点が見つかった場合は、ログなどの証拠を保全したうえで、担当者や専門家と調査・対応を進める必要があります。

顧客へ説明するときも、「対象サイト」「確認日時」「適用した対策」「調査した範囲」「残る確認事項」をそろえます。調べた範囲を超えて「すべて安全です」と言い切ると、あとから必要な説明が難しくなります。確認中の項目があれば、その項目と次に案内できる時点を伝えるほうが、顧客も自分に必要な行動を判断しやすくなります。