まず、内容を知る

PHP公式が修正版への更新を案内

PHPプロジェクトは2026年10月21日、認証されていない外部からの操作で遠隔コード実行につながる可能性がある二つの重大な脆弱性を公表しました。対象はPHP-FPM、Apacheのmod_php、php-cgiなど、Webリクエストを処理するPHP環境です。

公式に修正版として示されたのは、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.1以前はPHPプロジェクトの通常サポートを終了しており、配布元が修正を戻して提供する場合もあるため、表示された数字だけで判断せず、サーバーや保守サービスの提供元へ確認します。

仕事での使い方

サイト名ではなく、環境と担当を一枚にする

編集部の提案は、架空の会社案内サイトについて、保守問い合わせのメモを一枚だけ作る練習です。サイトの制作会社、サーバー会社、社内担当の三つを確認し、現在のPHP版、修正版の適用予定、バックアップ、更新後の確認時刻を同じ欄にまとめます。

WordPressなどの画面だけを見て「対応済み」と決めず、実際にWebリクエストを処理するPHP環境を誰が管理しているかを先に特定します。レンタルサーバーや保守契約では提供元が更新する場合があるため、契約画面や請求書、過去の制作メールから問い合わせ先を探します。

架空の保守確認メモ

対象：会社案内サイト
管理先：制作会社／サーバー会社／社内担当
現在のPHP版：確認中
修正版または配布元の修正：適用済み／予定日／未確認
バックアップ：取得時刻と保管先
更新後の確認：担当者と確認時刻

文章を選択してコピーし、練習に使えます。

使う前に確かめること

「不明」を安全と読み替えない

OpenAIが公開した版確認ツールは、HTTP応答にPHP版が表示される場合や、管理権限のあるサーバーで版を確認する用途です。公式説明では、版が隠されている場合はUNKNOWNになり、UNKNOWNは修正済みを意味しないと明記されています。配布元独自の修正では版番号が変わらない場合もあります。

公開サイトへ攻撃用の入力を送ったり、権限のないサーバーを調査したりする必要はありません。更新前はバックアップと復旧方法、更新後は問い合わせフォームや管理画面など主要機能の動作を保守担当と確認し、確認した時刻と担当者を記録します。

  1. 利用有無

    対象サイトがPHPを使うか、制作会社かサーバー会社へ確認します。

  2. 版と修正

    現在の版と、PHP公式の修正版または配布元の修正が適用済みかを尋ねます。

  3. 更新前後

    バックアップ、更新予定、更新後に確かめる主要機能を決めます。

  4. 記録

    回答者、確認時刻、根拠となる案内URLを保守メモへ残します。

今日の小さな一歩

保守先へ送る質問を一行にする

今日は、自社サイトの請求書か契約画面を一つ開き、問い合わせ先を確認してください。送る質問は「現在のPHP版と、CVE-2026-109618・CVE-2026-109619への修正適用状況を教えてください」の一行に絞ります。