PHPに深刻度9.2の重大脆弱性が2件発覚

【緊急】PHPに深刻度9.2の重大脆弱性が2件発覚、世界中のWebサイトに影響か――楽天チケットも緊急停止、企業が取るべき対応とは **2026年10月21日｜IT・サイバーセキュリティ** ## 世界中のWebサイトを支えるPHPに重大なセキュリティ問題 2026年10月20日、Webサイトやオンラインサービスの開発に広く利用されているプログラミング言語「PHP」に、極めて深刻な脆弱性が2件存在することが公式に発表された。 いずれも脆弱性の深刻度を示すCVSS v4.0で「9.2」と評価され、最高レベルに分類される「Critical（緊急）」に該当する。 PHPのセキュリティチームは、10月21日23時（日本時間）に修正版を公開する予定だと発表。世界各国のセキュリティ機関が緊急対応を呼びかけており、一部のWebサービスでは予防的な停止や緊急メンテナンスが始まっている。 今回の問題が特に重大なのは、PHPが一部の特殊なシステムだけでなく、企業サイト、ECサイト、ブログ、会員管理システムなど、インターネットの幅広い領域で使用されているためだ。 ## PHPとは何か？ なぜ世界的な問題になるのか PHPは、Webサーバー側で動作するプログラミング言語である。 例えば、オンラインショップで商品を検索したり、会員がログインしたり、注文内容をデータベースに保存したりする処理に利用される。 世界的に普及しているWordPressもPHPを使用しており、Drupal、Joomla、MagentoなどのWebシステムにも採用されている。 PHPは、サーバー側のプログラミング言語が判明しているWebサイトの約7割で利用されているとの調査もある。ただし、これはインターネット上の全サイトの7割という意味ではない。 今回のようにPHP本体で重大な脆弱性が発見されると、その影響は個別のWebサイトにとどまらず、多数の企業や公共機関へ波及する可能性がある。 ## 発見された2件の脆弱性と危険性 今回報告された脆弱性には、次の識別番号が付与されている。 - CVE-2026-109618 - CVE-2026-109619 いずれもCVSS v4.0の評価は9.2で、極めて深刻な問題とされる。 海外報道では、攻撃者が外部からサーバー上で不正なコードを実行できる「リモートコード実行（RCE）」の危険性が指摘されている。 仮に攻撃が成立する環境であれば、Webサイトの改ざん、機密情報の窃取、サーバーへの不正プログラムの設置、サービス停止などにつながる恐れがある。 ただし、記事執筆時点では、PHP公式による詳細な技術情報と正確な影響バージョンの発表は確認できていない。すべてのPHP利用サイトで攻撃が成立すると確定したわけではなく、実際の危険性はサーバー構成や利用条件によって異なる。 ## 楽天チケットが緊急メンテナンスを発表 国内でも具体的な対応が始まっている。 楽天グループが運営する「楽天チケット」は10月21日、PHPの脆弱性への対応として、同日22時30分ごろから緊急メンテナンスを実施すると発表した。 公式発表では、自社システムでPHPを使用していることを明らかにし、安全性確保のためにWebサイトやアプリの利用を一時的に制限すると説明している。 一方、現時点で脆弱性を悪用した被害や利用者データの流出は確認されていないとしている。 ここで注意したいのは、楽天チケットと楽天市場は別のサービスであるという点だ。楽天チケットがPHPを使用しているからといって、楽天市場の基盤にも同じ脆弱性が存在すると断定することはできない。 また、BASEなどのECプラットフォームについても、影響の有無は各社のシステム構成や公式発表に基づいて判断する必要がある。 ## 欧州では政府系サイトにも影響、各国が警戒 今回の問題は、日本だけにとどまらない。 ロイター通信によると、オランダやフィンランドなど欧州の一部政府系Webサイトが、脆弱性への予防措置として停止された。 英国の国家サイバーセキュリティセンター（NCSC）も、PHPを利用する組織に対して緊急の注意喚起を実施している。 NCSCは、インターネットに公開されているPHPシステムを優先して特定し、監視と更新を進めるよう求めている。直ちに対策できないシステムについては、十分な安全性が確保されるまで一時的に停止することも検討すべきとしている。 これは、今回の脆弱性が単なるWebサイトの表示不具合ではなく、システム全体の安全性に関わる問題として認識されていることを示している。 ## ECサイトへの影響――顧客情報や決済情報は大丈夫なのか オンラインショップにとって特に懸念されるのが、個人情報や決済関連データへの影響だ。 ECサイトでは、氏名、住所、電話番号、メールアドレス、注文履歴などの情報が管理されている。 もしPHPの脆弱性を利用してサーバーへの不正アクセスが成立した場合、システムの権限やデータの保存方式によっては、こうした情報が危険にさらされる可能性がある。 ただし、PHPの脆弱性があることと、クレジットカード番号が流出することは同義ではない。 決済情報を外部の決済事業者が管理している場合や、カード番号をECサイト側に保存しない構成では、影響範囲は異なる。 また、今回の脆弱性による大規模な個人情報流出が確認されたと断定できる状況ではない。 重要なのは、潜在的な被害の大きさと、実際に確認された被害を分けて考えることだ。 ## WordPressを利用する企業や個人も注意が必要 WordPressはPHPで動作するため、今回の問題と無関係ではない。 WordPress本体やプラグインを最新版にしていても、サーバー側で動作するPHP本体が古いままであれば、PHPの脆弱性が残る可能性がある。 特に、中小企業のWebサイトでは、制作会社に管理を委託したままPHPのバージョンを長期間確認していないケースも考えられる。 また、WordPressの管理画面から実施する通常の更新と、サーバー側のPHP更新は別の作業である。 そのため、管理者はWordPressだけでなく、レンタルサーバーやクラウド環境のPHPバージョンについても確認する必要がある。 ## 企業やサイト管理者が今すぐ行うべき対策 最優先すべきなのは、自社が管理するシステムの中にPHPを利用しているものが存在するかを確認することだ。 そのうえで、現在のPHPバージョン、サーバーの管理者、更新方法、バックアップ状況を把握する必要がある。 修正版が公開された後は、公式に発表された影響範囲を確認し、必要なアップデートを速やかに実施する。 ただし、本番環境のPHPを無計画に更新すると、既存のプログラムやプラグインとの互換性問題が発生する可能性があるため、バックアップと動作確認も重要だ。 すぐに更新できない場合には、外部からのアクセス制限、WAFによる防御、ログ監視の強化、一時的なサービス停止などを検討する必要がある。 一方、一般のインターネット利用者については、スマートフォンやパソコンのPHPを更新するという対応は通常必要ない。基本的にはサービス提供事業者がサーバー側で対処する問題である。 ## 今後の焦点は23時の修正版公開と攻撃の拡大 PHP公式は、修正版の公開に合わせて、脆弱性の詳細、影響を受けるバージョン、修正済みのバージョンを明らかにする方針を示している。 注目されるのは、どのPHPバージョンまで影響が及ぶのか、どのような条件で攻撃が成立するのか、そして既に悪用された事例がどの程度確認されるのかという点だ。 修正版が公開されると、攻撃者が修正前後のコードを比較して脆弱性を分析する可能性もある。そのため、更新が遅れるシステムでは危険な状態が続く恐れがある。 一方で、すべてのPHP利用サイトが直ちに侵害されるわけではない。実際のリスクは、影響バージョン、サーバー構成、攻撃条件、既存の防御策によって変わる。 今回の問題は、企業規模に関係なく、Webサイトの基盤技術を継続的に管理することの重要性を改めて示している。 ## THINKLABの視点――問題は脆弱性だけではなく、管理体制にもある 今回のPHP問題で浮き彫りになったのは、インターネットが広く利用する共通技術に重大な問題が発生した場合、その影響が短時間で世界中に広がり得るという構造的なリスクだ。 特に中小企業では、Webサイトを制作した後、サーバーやプログラミング言語の更新管理が曖昧になっている場合がある。 サイトが正常に表示されているから安全とは限らない。 重要なのは、どの技術を利用しているのか、誰が更新するのか、問題が発生したときに誰が判断するのかを明確にしておくことである。 今回の事態を機に、企業は自社Webサイトの技術構成と保守体制を見直す必要があるだろう。 --- ### 参考情報・出典 - PHP公式「Upcoming Critical PHP Security Release」（2026年10月20日） https://www.php.net/archive/2026.php - 英国NCSC「Critical security issue affecting PHP」（2026年10月21日） https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php - 楽天チケット公式「緊急メンテナンスのお知らせ」（2026年10月21日） https://ticket.rakuten.co.jp/ - Reuters（2026年10月21日）欧州政府系サイトの停止に関する報道 - 窓の杜（2026年10月21日）PHP重大脆弱性と緊急セキュリティリリースに関する報道 **※本記事は2026年10月21日22時台に確認できた情報に基づく速報です。脆弱性の技術的詳細や影響バージョン、各社の対応状況については今後変更される可能性があります。**