【事前準備のお願い】PHPのセキュリティリリース公開予定について

本情報の対象となる2つの脆弱性について、現時点でIPAが悪用した攻撃を確認しているわけではありません。セキュリティリリースの公開後、速やかに適用できるよう、事前準備をお願いするものです。

PHPの脆弱性については、2024年7月にも悪用した攻撃に関する注意喚起を行っています（脚注1）。
今回の脆弱性についても悪用されるおそれがあるため、予防的に情報を発信しています。

The PHP Groupが提供するPHPについて、2026年10月21日 23:00（日本時間）に、2つの脆弱性に対するセキュリティリリースを公開する予定であることが発表されています。

また、脆弱性の詳細が公開された場合や、実際に悪用が確認された場合には、公開予定日時を前倒しする可能性があるとのことです。

本情報の発信時点では、セキュリティリリースは公開されておらず、これらの脆弱性の影響を受ける詳細なバージョン情報や、修正バージョン情報なども確認できていません。

PHPを利用しているウェブサイトの運営者や、PHPを利用したウェブアプリケーションの開発者の皆様は、今後The PHP Groupが公開する情報を注視し、公開後、速やかにセキュリティリリースを適用するなどの対応ができるよう、事前準備をお願いします。可能な範囲で、開発・運用しているプログラムのうち、PHPを利用しているものを棚卸ししてください。

また、PHPは、ウェブアプリケーションだけでなく、ソフトウェア製品やネットワーク機器などの内部でも利用されている場合があります。
製品や機器の内部でのPHPの利用状況は、利用者側では把握できない場合があります。まずは、製品のマニュアルや、開発元・提供元が公開するセキュリティ情報などをご確認ください。公開情報などからPHPの利用が把握できている製品については、今後の情報を注視し、影響や対策が公表された場合に速やかに対応できるよう準備をお願いします。

現時点で、利用しているすべての製品について、内部でのPHPの利用有無を個別に確認することをお願いするものではありません。PHPの利用状況が不明な製品についても、引き続き開発元・提供元からの情報をご確認ください。

なお、これらの2つの脆弱性について、CERT-EUは、複数の情報源に基づき、CVE識別子をCVE-2026-109618およびCVE-2026-109619とする注意喚起を公表しています。また、同注意喚起では、PHP 5以降が影響を受けるとされています。

影響を受ける詳細なバージョン情報は、現時点では確認できていません。なお、CERT-EUの注意喚起では、PHP 5以降が影響を受けると記載されています。

現時点では、修正プログラムは公開されていません。今後The PHP Groupや各製品の開発元・提供元が公開する情報を確認し、修正プログラムの公開後、速やかに適用できるよう準備してください。

自組織で開発・運用しているプログラムや、利用している製品について、PHPの利用状況を可能な範囲で棚卸しし、速やかな対策の適用に向けて準備してください。

IPAが確認したところでは、サポート終了の古いPHPを利用し続けているウェブサイト・ウェブサービスも見受けられます。最近の情勢を踏まえると、攻撃者はこれらの脆弱性を悪用し、極めて短時間で攻撃を実行する可能性もあるため、パッチの公表後、可及的速やかに適用できるよう準備をお願いします。