情報処理推進機構（IPA）は、PHPの2件の脆弱性について、2026年10月21日23時（日本時間）にセキュリティリリースが公開予定であることを利用組織に呼びかけた。
2件の脆弱性に備え、PHP利用環境の棚卸しを要請
2026年10月21日にIPAが公表した内容によると、PHPの開発元The PHP Groupは、2つの脆弱性に対応するセキュリティリリースを同日23時（日本時間）に公開する予定であった。
脆弱性の詳細が公開された場合や、実際の悪用が確認された場合には、公開予定時刻を前倒しする可能性もあるとされていた。
これらの脆弱性について、CERT-EUは複数の情報源に基づき、CVE-2026-109618およびCVE-2026-109619として注意喚起を公表した。同機関の注意喚起では、PHP 5以降が影響を受けるとされている。
IPAは、ウェブサイトやウェブアプリケーションの開発・運営者に対し、管理するプログラムのうちPHPを使うものを可能な範囲で棚卸しするよう求めた。
PHPはウェブ用途に限らず、ソフトウェア製品やネットワーク機器の内部で使われる場合もあり、利用者が内部の構成を把握できないこともある。そのため、製品のマニュアルや開発元・提供元のセキュリティ情報を確認し、影響情報が公表された際に対応できるよう準備を促している。
一方、IPAは、利用するすべての製品について内部にPHPが含まれるかを個別に調査するよう求めているわけではない。
公開情報からPHPの利用が把握できている製品については、今後の情報を注視し、開発元・提供元が公表する影響や対策を確認するよう求めている。また、PHPの利用状況が不明な製品についても、開発元・提供元からの情報を引き続き確認するよう促している。
サポート終了済みの古いPHPを使い続けるウェブサイトやサービスも見受けられるとし、修正プログラムの公開後は可及的速やかな適用を呼びかけた。
事前の更新準備が被害抑制につながる可能性
企業のセキュリティ対応では、脆弱性が公表されてから対象システムの洗い出しを始めると、対策までの時間が延びる恐れがある。
事前にPHPの利用箇所や更新担当者、検証・適用手順を把握しておけば、公開直後の判断を迅速化でき、攻撃機会を減らすことにつながるだろう。
ただし、修正版の適用は、業務システムとの互換性やサービス停止の影響を確認しながら進める必要がありそうだ。準備が不十分なまま更新すれば、稼働障害を招く可能性もあるため、優先順位を決めた検証と、緊急時に承認を短縮する手順を整えておくことが望ましいだろう。
中長期的には、サポート期間内のバージョンへ計画的に移行し、古い環境に依存するリスクを減らすことが重要になると考えられる。限られた人員ですべての機器を一律に調べるより、管理下のアプリと、ベンダー情報を通じて影響を把握できる製品から確認する運用が、現実的な備えになりそうだ。
IPA 【事前準備のお願い】PHPのセキュリティリリース公開予定について
関連記事：
IPA、AI前提社会の設計拠点「DADC」新設 共通AI基盤の整備を推進
Anthropicが重要インフラ防御を支援 OSSの脆弱性も無料検査
日立がAI活用の脆弱性分析サービス開始 JPXが先行導入で作業8割削減
