PHPが重大な脆弱性2件について警告　緊急パッチは21日夜にリリース予定

PHPが重大な脆弱性2件について警告　緊急パッチは21日夜にリリース予定

BleepingComputer – October 20, 2026

PHPのセキュリティチームは10月20日、2件の重大な脆弱性に対処する緊急セキュリティアップデートを21日にリリース予定であると告知。この告知は、両脆弱性に関する情報が、公式に予定されていた開示日よりも前に流出してしまったことを受けて行われている。

PHPのアドバイザリによると、いずれの脆弱性についてもCVSS v4.0スコアは9.2。PHPチームは詳細情報、影響を受けるバージョン、および修正済みのバージョンについてまだ明かしておらず、リリース時に公表予定とした。

一方で、watchTowrのセキュリティ研究者らによれば、該当する脆弱性はリモートコード実行の脆弱性であるCVE-2026-109618およびCVE-2026-109619。影響を受けるPHPバージョンは5、6、7、8であると考えられるという。同社は現時点で技術的な詳細を明かすことはできないとしつつも、これらの脆弱性の存在が現実であることは請け合えると述べた。

PHPおよびwatchTowrの警告は、Y Combinator社運営のHacker Newsフォーラムへの、「petecooper」と名乗るユーザーによる投稿を受けてのもの。petecooperは、すでに削除済みのこの投稿において、PHPにおける重大なリモートコード実行の脆弱性2件が10月22日に開示される予定だと述べていた。また同ユーザーはこれらの脆弱性がCVE-2026-109618およびCVE-2026-109619である点にも言及し、CVSSスコアは10.0でPHP 5以降のPHPバージョンが影響を受けるとも指摘していた。

PHPの公式発表と、watchTowrおよびpetecooperが投稿した内容ではCVSSスコアが異なっている。一方で、watchTowrとpetecooperが共有したCVE識別子は同一だった。

公式セキュリティアップデートは日本時間10月21日23:00にリリース予定とされる。PHPユーザーには、リリースが利用可能になり次第速やかにアップグレードできるよう、今から準備を進めておくことが推奨されている。

関連資料をダウンロード

グローバル脅威インテリジェンスレポート2026

Flashpoint『グローバル脅威インテリジェンスレポート2026』は、AI・インフォスティーラー・脆弱性・ランサムウェアが互いに結びついて進化する、今日のハイブリッドな脅威の全体像を解説したレポー...

資料ダウンロード