メニュー 閉じる

【重要】PHP脆弱性（修正版公開）に関する対応と各部署・個人・団体が管理するWebシステム・ツールの確認のお願い 

mguolg

各位 

先般、独立行政法人情報処理推進機構（IPA）より事前注意喚起のあったプログラム言語「PHP」の深刻な脆弱性（セキュリティ上の不具合）について、2026年10月21日、PHP開発元より修正版が公開され、脆弱性の詳細が発表されました。 

今回の脆弱性は、ログイン等の認証を必要とせず、外部から細工した通信を送るだけでサーバー上で任意のプログラムを実行される（遠隔からサーバーを乗っ取られる）おそれがある、極めて危険度の高いもの（深刻度：CVSS v4.0 基本値 9.2）です。開発元は、すべてのPHP利用者に対し、直ちに修正版へ更新するよう強く呼びかけています。 

修正内容が公開されたことにより、今後、本脆弱性を悪用した攻撃が急速に増加することが懸念されます。つきましては、各部署のほか、教職員個人や学内の団体（研究室・ゼミ、学会・研究会の事務局、課外活動団体等）で独自に運用・管理されているWebサービスやシステムについても、以下の通り至急ご確認およびご協力をお願いいたします。 

【脆弱性の概要】 

  • 脆弱性の識別番号：CVE-2026-109618、CVE-2026-109619（計2件） 
  • 想定される被害：認証なしでの遠隔からの任意コード実行（サーバーの乗っ取り、情報漏えい、Webサイト改ざん等につながるおそれ） 
  • 影響を受ける環境：Webリクエストを処理するすべてのPHP環境（PHP-FPM、Apache（mod_php）、php-cgi、FrankenPHP、LiteSpeed 等）。特にApache（mod_php）構成は、アプリケーションの処理が始まる前に攻撃が成立することが確認されており、最もリスクが高いとされています。 
  • 修正版：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 
  • PHP 8.1以前：開発元による修正の提供は終了しています。一部のLinuxディストリビューションや長期サポート（LTS）ベンダーが修正を提供している場合があるため、提供元への確認、またはサポート対象バージョンへの移行が必要です。 
  • 暫定対策について：直ちに更新できない場合の設定変更による緩和策も示されていますが、一部の攻撃経路を減らすにとどまり、安全を確保するものではありません。開発元は、修正版への更新が唯一の確実な対策であるとしています。 

1. 各部署・個人・団体へのお願い（対象ツールの確認・棚卸し） 

各部署、教職員個人、学内の団体において、外部業者への委託または独自に運用・管理している「Webサイト・Webツール・業務システム」がないか確認をお願いいたします。 

  • 確認いただきたい例： 
  • 部署・研究室・個人等で独自に公開・運用しているWebサイトや各種申請・申し込みフォーム 
  • 外部ベンダーに委託して構築・運用している補助システム・データベース 
  • 過去に独自導入・作成したWordPress等のCMSやWebツール 
  • 学会・研究会・課外活動団体等のWebサイトや会員管理・参加申込システム 
  • レンタルサーバーやクラウドサービス上に、個人・団体で設置しているWebサイト・ツール 

2. 今後の対応（保守業者・サーバー事業者等への至急確認） 

上記に該当するシステムやツールがある場合、システムを保守・管理している保守業者（レンタルサーバー等を利用している場合はサーバー事業者）に対し、至急以下の点をご確認ください。 

  • PHPを使用しているか、使用している場合はそのバージョン 
  • 修正版（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降）への更新の予定日、または完了日 
  • PHP 8.1以前を使用している場合の対応方針（提供元の修正の適用、またはサポート対象バージョンへの移行） 
  • 直ちに更新できない場合は、暫定対策の実施状況と更新完了までの見通し 

※個人・団体でレンタルサーバー等を利用している場合は、サーバー事業者からのお知らせや管理画面で、PHPの更新対応状況や利用中のバージョンをご確認ください。サーバーを自ら管理している場合は、速やかに修正版への更新をお願いいたします。 

※保守業者には、末尾【参考】の開発元発表（英語）をあわせてお伝えいただくと、確認がスムーズです。 

※該当するシステムの有無がご不明な場合や対応方法にご不安がある場合は、情報センターまでご相談ください。 

【補足】 

PHP 8.2は2026年12月31日でサポートが終了し、以降はセキュリティ修正が提供されなくなります。PHP 8.2をご利用の場合は、今回の更新とあわせて、サポート対象バージョンへの移行計画についても保守業者・サーバー事業者等にご確認いただくようお願いいたします。 

学内の安全な情報セキュリティ環境の維持のため、ご理解とご協力のほど何卒よろしくお願い申し上げます。 

【参考】 

情報センター