PHP脆弱性の続報｜公開の4日前から攻撃の試み。担当者が今日確かめたい5つのこと

PHPの緊急脆弱性2件（CVE-2026-109618・109619）について、修正版の公開の4日前から攻撃の試みがあったと、Amazonが報告しました。
公開の後は「広く悪用されている」とも書かれています。
Webサイトを持つ企業・団体の担当者の方は、公開日の10月21日より前にさかのぼって、確認を進めてください。

この記事は、10月22日にお届けした記事の続報です。
公開から半日でわかったことと、私たちが管理しているサーバーの対応で見つかった、見落としやすい点をまとめます。
10月22日 昼（日本時間）の時点の、PHPの公式の告知、Amazonのセキュリティブログ、IPAの注意喚起、各社のお知らせをもとにしています。

公開の前から、攻撃の試みがありました

Amazonの脅威インテリジェンスのチームによると、最初の攻撃の試みは10月17日に、おとり用のサーバー（ハニーポット）で見つかりました。
修正版が出る4日前です。
10月21日には攻撃を試すプログラムが出回り始め、修正版の公開後は、新しいものが数時間で使われたと、Amazonは書いています。

その試みが実際のサーバーで成功したかどうかは、まだわかっていません。
Amazonは、調べ直しを公開日からではなく、少なくとも10月17日から始めるよう勧めています。

国内では、IPA（情報処理推進機構）が10月22日に注意喚起を出しました。
8.1以前の古いPHPは、更新か移行を検討すること。
暫定の対策が難しい場合は、外からのアクセスの遮断やサービスの一時停止まで判断すること、が求められています。
米国CISAの「悪用が確認された脆弱性の一覧（KEV）」には、10月22日 昼の時点ではまだ載っていません。

レンタルサーバーでは「版の数字」だけで判断しない

主なレンタルサーバー会社のお知らせでは、10月22日 昼の時点で次のとおりです。

• Xserver：PHP 8.2〜8.5は全サーバーで修正済み。古い版は順次対応中
• さくらのレンタルサーバ：選べる全ての版で対応済み
• mixhost：全サーバーで修正済み
• ConoHa WING：順次適用中
• ロリポップ！：メンテナンス中（完了のお知らせは未確認）

気をつけたいのは、サーバー会社が修正を入れても、管理画面に出るPHPの版の数字が変わらない場合があることです。
mixhostのお知らせには、例えば8.4.26のまま表示されると書かれています。
Linuxの配布元のパッケージも同じで、版の数字は古いまま、修正だけが入っていることがあります。

なので、「修正版の番号になっていないから危ない」「番号が新しいから安全」とは、数字だけでは決められません。
サーバー会社のお知らせか、配布元の更新の記録で、今回のCVE番号への対応を確かめてください。

サイトの保守を外部に任せている場合の聞き方

制作会社や保守の会社に任せている場合は、次の3つを聞くと話が早いと思います。

1. 今回のPHPの脆弱性（CVE-2026-109618・109619）の修正は、どのサーバーに、いつ入りましたか。
2. 修正が入るまでの間、どんな暫定の対策をしていますか。
3. 10月17日以降のログに、おかしな動きはありませんでしたか。

8.1以前のPHPや、サポートが終わったOSで動いている場合は、修正版が出ません。
その場合は、移行の時期と、それまでの守り方を一緒に決めてください。

点検で見落としやすい4つのこと

私たちも管理しているサーバーを一晩かけて点検し、暫定の対策を入れました。
その中で、今回の脆弱性と直接は関係なくても、こういう時に一緒に見つかる穴がありました。
どこの会社でも起こりうるものなので、種類だけ挙げます。

データベースの管理ツールが公開されたまま

データベースを画面から操作するphpMyAdminが、誰でも開ける場所に置かれたままになっていることがあります。
phpMyAdminもPHPで動くので、今回の穴の入口にもなります。
使っていなければ消し、使うなら公開された場所から外すか、使える人を限ってください。

公開フォルダに残った控えのファイル

「.bak」「_bk」「.old」のような名前で、昔のプログラムの控えが残っていることがあります。
古いプログラムが動いたり、プログラムの中身がそのまま読めたりします。
公開フォルダから外して、控えのファイルをWebで配らない設定も入れておくと安心です。

Basic認証の一部の外し方

テスト用のサイトや管理画面にBasic認証（IDとパスワードの簡単な鍵）をかけていても、APIのフォルダだけ誰でも通す設定にしていることがあります。
そこにファイルの受け取り口があると、鍵の意味が薄れます。
外す範囲は、本当に要るURLだけに絞ってください。

更新が来ない古いOS

サポートが終わったOSでは、いつもの更新で修正版が入りません。
移行の時期を前倒しで決めて、それまでは暫定の対策とWAF（攻撃を止める仕組み）で、外から触れる範囲を減らします。

WAFは時間を稼ぐもの

Cloudflare、AWS WAF、Imperva、Fastlyなどが、今回の脆弱性向けの対策ルールを出しています。
有効にする設定が要るものもあるので、使っている場合は設定を確かめてください。
ただ、Cloudflareも「あくまで一時しのぎで、PHPの更新が必要」としています。
穴をふさぐのは、PHPの更新だけです。

担当者が今日確かめたいこと

1. サーバー会社・保守の会社のお知らせで、修正が入ったかを確かめる（版の数字だけで判断しない）。
2. 自社で管理しているサーバーは、修正版へ更新してPHPを再起動する。
3. ログを10月17日から確かめる。
4. phpMyAdminや控えのファイルなど、公開フォルダに要らないものが残っていないか見る。
5. 8.1以前のPHP・サポートが終わったOSは、移行の時期を決める。

私たちもCMSを作って運用する立場として、情報が更新されたら、この記事も見直します。

出典：PHP公式の告知／Amazonセキュリティブログ（2026-10-21）／IPAの注意喚起（2026-10-22）／Cloudflareブログ／mixhost／Xserver／さくらのレンタルサーバ／ConoHa WING／ロリポップ！
※調査と下書きにAI（Claude）を使い、一次情報の確認と内容の判断は人が行っています。