はじめに

2026年10月21日、PHPに関する2件の重大な脆弱性が公表され、修正版が公開されました。今回の脆弱性は、悪用されると、攻撃者がログインしていなくてもサーバー上で不正なプログラムを実行できるおそれがある深刻な問題です。

PHPは、WordPressを利用したブログやさまざまなWebサイトで使用されているプログラミング言語です。そのため、PHPを利用しているWebサイトやサービスでは、自分の環境が影響を受けるか確認することが重要です。

この記事では、PHPとは何か、今回の脆弱性によって具体的にどのような問題が発生するのか、また、PythonとDjangoで開発・運用しているKakuhanAppについて、今回の脆弱性への影響も紹介します。

目次

1. PHPとは

PHPは、おもにWebアプリやWebサイトの開発で使用されるプログラミング言語です。
利用者がページを開いたときに、データベースから記事を取得したり、ログイン情報を確認したり、表示するHTMLを生成したりする処理に利用されます。
世界のWebサイトのうち約70%がPHPを使用しているそうです。

PHP公式サイトはこちら
https://www.php.net/

2. 今回公表されたPHPの脆弱性について

2026年10月21日、PHPに関する次の2件の重大な脆弱性が公表されました。

  • CVE-2026-109618
  • CVE-2026-109619

どちらも新国土はCVSS 4.0で9.2と評価されており、「Critical（重大）」な脆弱性です。
影響を受けるPHP環境では、攻撃者がログインしなくても、細工したリクエストを送ることでサーバー上のプログラムを不正に実行できるおそれがあります。

1つ目：CVE-2026-109618
この脆弱性は、PHPがリクエストを処理している途中でメモリ不足になった場合の処理に関係しています。

プログラムは処理に必要な情報を一時的にメモリへ保存します。しかし、メモリ不足が発生した際に内部の情報が不正な状態になると、その後の処理で想定外の動作が発生する可能性があります。この問題を悪用されると、サーバー上で不正なコードを実行されるおそれがあります。

2つ目：CVE-2026-109619
この脆弱性は、PHPが複数のリクエストを処理する際の内部状態の管理に関係しています。

PHPの実行環境によっては、同じワーカープロセスが複数のリクエストを順番に処理します。その際、前のリクエストで使用した情報が適切に管理されず、次のリクエストの処理に影響する場合があります。この問題を悪用されると、サーバー上で不正なコードを実行されるおそれがあります。

PHP公式では、すでに修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されています。

参考情報はこちら

3. 脆弱性を悪用されると何が起こるのか

今回の脆弱性が悪用されると、PHPを使用しているWebサイトやサーバーで、次のような被害が発生する可能性があります。

1. サーバー上で不正なプログラムを実行される
攻撃者がサーバー上で不正なプログラムを実行できると、Webサイトのファイルを書き換えたり、不正なファイルを設置したりするおそれがあります。
例えば、サイトの管理に使う情報を盗まれたり、サーバーに保存しているデータを勝手に変更・削除されたりする被害が考えられます。

2. データベースやファイルの情報を盗まれる
PHPのプロセスがアクセスできる範囲によっては、データベースの情報やサーバー上のファイルが不正に読み取られる可能性があります。
例えば、設定ファイルに保存されたデータベース接続情報やAPIキー、認証情報などが狙われることがあります。これらの情報が漏れると、Webサイトだけでなく、連携している別のサービスにも被害が広がるおそれがあります。

3. Webサイトの利用者に被害が及ぶ
Webサイトが改ざんされた場合、利用者が偽のページへ誘導されたり、不正なファイルをダウンロードさせられたりする可能性があります。
また、会員情報などが保存されているシステムでは、サーバーへの不正アクセスをきっかけに個人情報の漏えいにつながるおそれもあります。

4. サーバーが別の攻撃に悪用される
攻撃者がサーバーを操作できるようになると、不正なプログラムを動かしたり、ほかのシステムへの攻撃の中継地点として利用したりする可能性があります。
その結果、サーバーの動作が重くなったり、サービスが停止したり、運営者が調査や復旧に追われたりすることも考えられます。

このように、今回の問題は単にページが正しく表示されなくなるだけではありません。サーバーの権限や構成によっては、Webサイトの運営や利用者の情報に大きな影響を及ぼす可能性があります。

4. 今回の脆弱性のKakuhanAppへの影響

今回の脆弱性について、KakuhanAppのサーバー構成も確認しました。

KakuhanAppは、PythonのWebフレームワークであるDjangoを使用して開発・運用しています。PHPではなくPythonでアプリケーションの処理を実行する構成です。

KakuhanApp運用サーバーでPHPがインストールされているか確認しましたが、PHPは見つかりませんでした。さらに、OSのパッケージ情報を調べたところ、通常のパッケージとしてPHP関連のものは確認されませんでした。

Webサーバー（Nginx）の設定も確認しましたが、PHPへの通信に使用する設定例はコメントアウトされており、実際にPHPへ接続している設定は確認できませんでした。

これらの結果から、現時点で確認できた範囲では、KakuhanAppのDjangoアプリケーションが今回のPHPの脆弱性によって直接影響を受ける可能性は低いと考えています。

5. おわりに

今回のPHPの重大な脆弱性について調査したところ、KakuhanAppでは、確認した範囲でPHPを使用している形跡は見つかりませんでした（そもそも使った覚えがない）。KakuhanAppはDjangoを使用して開発しているため、今回の脆弱性による直接的な影響はなさそうです。ひとまず安心しました。

一方で、PHPを使用してWebサイトやサービスを運営している方々にとっては、影響の確認やバージョンアップなど、対応に追われる大変な状況だと思います。

今回の件を通して、自分が利用している技術やサーバー構成を把握しておくことの大切さも改めて感じました。これからもKakuhanAppの開発・運営を続けながら、セキュリティに関する情報にも気を配っていきたいと思います。