【緊急】PHPの重大な脆弱性への対応を1件5万円（税別）でお受けします
要約
2026年10月21日にPHP公式が公表した、認証なしで外部からコードを実行される恐れのある脆弱性2件について、影響を受ける環境と今すぐ確認したいことを整理しました。BinxAIは1件5万円（税別）、1日5件まででPHPの更新と動作確認をお受けします。
2026年10月21日23時（日本時間）、PHPの開発チームが重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619）を修正したバージョンを公開しました。国内でも、公開の前後から大手のWebサービスやゲームが相次いで緊急メンテナンスに入っています。
一方で、「自社のサイトが対象かどうか分からない」「更新できる担当者がいない」という企業も少なくありません。BinxAIは、日本企業の情報漏洩を防ぐための緊急対応として、本件の対応を特別価格でお受けすることにしました。
この記事の対象読者
- WordPressやLaravelなど、PHPで動くWebサイト・システムを運営している企業
- 自社サイトのPHPのバージョンを把握していない企業
- 制作会社との契約が終わり、サイトの保守担当がいない企業
- PHP 8.1以前の古い環境を使い続けている企業
何が起きたのか
PHP公式の勧告によると、今回の2件はいずれも、認証なしでリモートからコードを実行される恐れがある脆弱性です。2件とも深刻度はCVSS v4.0で9.2と評価されています。
| 脆弱性 | 内容 |
|---|---|
| CVE-2026-109618 | メモリ不足の処理でPHPが途中で止まり、作りかけのリクエストのデータが、後片付けの処理で正しいデータとして扱われる |
| CVE-2026-109619 | リクエストごとの内部の状態が、メモリを解放した後も残り、同じワーカーが処理する次のリクエストで使われる |
PHP公式は、Apacheのmod_phpで動かしている環境を最も危険度が高いとしています。アプリケーションのコードが動く前に、未認証のリクエストで攻撃が成立する実証例があるためです。
影響を受ける環境
PHP公式は、Webリクエストを処理するPHPの環境すべてを対象としています。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedのいずれで動かしていても該当します。
| 使っているPHPの系列 | 修正済みの版 | 注意点 |
|---|---|---|
| PHP 8.5 | 8.5.12以降 | 修正版へ更新する |
| PHP 8.4 | 8.4.27以降 | 修正版へ更新する |
| PHP 8.3 | 8.3.36以降 | 修正版へ更新する |
| PHP 8.2 | 8.2.35以降 | 2026年12月31日でサポート終了。移行の計画も必要 |
| PHP 8.1以前 | 公式の更新版（リリース）はなし | OSやサーバー会社の修正、またはサポート中の版への移行が必要 |
PHP 8.1以前については、PHPの開発チームから更新版のリリースは出ません。ソースコードから組み立てる人向けに7.4／8.0／8.1の最小限の修正は公開されていますが、多くの企業にとってはサポート中のバージョンへの移行が現実的です。
今すぐ確認したいこと
まずは自社のサイトが対象かどうかを確かめます。社内に担当者がいれば、次の3点で確認できます。
- PHPのバージョン：サーバーで「php -v」を実行する。WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できる
- 動かし方：Apacheのmod_phpか、PHP-FPMかを確認する。mod_phpは特に急ぐ
- レンタルサーバーの場合：サーバー会社のお知らせで、修正の適用状況とPHPのバージョン切り替え方法を確認する
BinxAIの緊急対応：1件5万円（税別）
社内で対応できない企業に向けて、BinxAIがPHPの更新と動作確認を1件5万円（税別、税込55,000円）でお受けします。1件は、サーバー1台上の1サイト（1システム）です。
- 現状の確認：PHPのバージョンと動作方式、サーバー環境
- 作業前のバックアップ
- 修正版の適用：修正済みの版への更新、またはOSが提供する修正パッケージの適用
- 暫定対策の設定：すぐに更新できない事情がある場合のみ
- 動作確認：主要な画面と機能
- 簡易チェックと作業報告書の提出
品質を保つため、受付は1日5件までです。原則は受付順ですが、個人情報や決済情報を扱うサイトと、PHP 8.1以前の環境は優先して日程を組みます。大規模なシステムで1日では終わらない場合は、作業前に内容と金額をお伝えし、合意いただいた範囲のみを、原価のみでご請求します。
よくある質問
レンタルサーバーを使っていても対象ですか？
対象です。PHP本体の修正はサーバー会社が適用しますが、サイト側で古いPHPのバージョンを選んでいると修正が届かない場合があります。当社では、修正の適用状況の確認、バージョンの切り替え、切り替え後の動作確認を同じ料金で行います。
WordPressの更新だけで足りますか？
足りません。今回の脆弱性はWordPressではなく、その土台であるPHP本体にあります。PHPそのものを修正済みの版へ更新する必要があります。
すでに攻撃を受けていないか調べてもらえますか？
不正アクセスの有無の調査は、5万円の対応には含みません。作業中に被害の兆候を見つけた場合はその場でお知らせし、別途ご相談とさせていただきます。
個人でも申し込めますか？
本対応は、法人と個人事業主の方を対象としています。
参考・出典
今回の脆弱性は、PHPで動くWebサイトのほぼすべてに関わります。まずは自社のPHPのバージョンを確かめ、修正済みの版になっていなければ、早めに更新してください。社内で対応が難しい場合は、BinxAIへご相談ください。
本記事の脆弱性に関する情報は、2026年10月21日時点のPHP公式の勧告に基づきます。最新の情報はPHP公式の発表をご確認ください。本対応は今回公表された脆弱性への対処であり、すべてのセキュリティリスクがなくなることを保証するものではありません。
この記事の分類
同じ分類の記事をまとめて読めます。
次に読む記事
政府とOpenAIが連携 行政AIの安全性論点が企業調達に広がる背景
OpenAIとデジタル庁の協力が行政向け生成AIの活用モデルを検討する段階に入りました。安全性や信頼性の論点を企業のAI調達へどう落とし込み、検証方法や責任分界、データ管理をどう確認するかを整理します。
EU AI Actで変わるAI調達 欧州委員会の情報要求に備える企業の準備
欧州委員会によるAI規制の執行強化を背景に、EU向け製品やサプライチェーンに関わる企業が見直すべきAI調達を整理します。AI利用台帳、委託先の証跡、契約条項、説明資料をどこから整えるかを具体的に解説します。
米国の軽規制とEUの執行強化が並走する時代 日本企業のAIガバナンス整備の進め方
G20で支持された非拘束のCarolina PrinciplesとEU AI Actの執行強化を対比し、日本企業が地域別のAI調達要件、利用台帳、契約上の責任を整理する進め方を解説します。
