trydabble
セキュリティ更新の一覧

パッチパッド / PHP

PHP のバージョンを確認し、2026年10月の修正を適用する方法

最終確認 (KST)

PHP は WordPress をはじめ多くのサイトの下で動き、たいていはホスティング会社が管理しています。サイトが使うバージョンはコマンドラインのものと違うことがあり、番号を変えずに PHP が修正されることもあります。

WordPress サイト：今回更新が必要なのは PHP です

WordPress を使っている場合：WordPress.org は今回の PHP の修正について、WordPress の更新は不要で PHP を更新すればよいと案内しています。WordPress では ツール → サイトヘルス → 情報 → サーバー で PHP のバージョンを確認できます。

WordPress のページを見るWordPress.org のお知らせ（2026-10-21）公開日

このページはどのサイトも検査しません。自分のサイトを確認する方法を説明します。

何があったのか

2026年10月21日（日本時間23時）、PHP は PHP 自体の重大な不具合2件を修正したリリースを公開しました。上で動くアプリが何であれ（WordPress を含む）、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed が対象です。PHP の言葉では「すべての PHP 利用者に、すぐに更新することを強く勧めます」。 「PHP2Shell」と呼ばれることがありますが、これは非公式の呼び名で、PHP 自身はこの名前を使っていません。 www.php.net

最近のセキュリティ情報

自分のバージョンが左の番号で始まるなら、右のバージョン以降が必要です。

お知らせ評価（提供元）修正版
PHP 8.5.12、8.4.27、8.3.36、8.2.35（2026年10月）CVE-2026-109618, CVE-2026-109619提供元のお知らせwww.php.netあわせて: PHP セキュリティ情報 GHSA-w8hw-w9fx-j79w, PHP セキュリティ情報 GHSA-6wmf-4rv5-p3rp, ChangeLog-8.php, CVE-2026-109618（cve.org）, CVE-2026-109619（cve.org）公開日2026-10-21最終確認2026-10-22 (KST)評価（提供元）

緊急 (Critical)

CVSS v4.0 9.2

修正版
  • 8.5:8.5.12以降
  • 8.4:8.4.27以降
  • 8.3:8.3.36以降
  • 8.2:8.2.35以降

8.1 以前は PHP の公式リリースがありません。ディストリビューションや長期サポート提供元が独自に修正を出すことがあります。ソースからビルドする人向けに、PHP セキュリティチームが PHP 7.4、8.0、8.1 用の最小限のソースバックポートを用意しました。PHP 8.2 は 2026-12-31 にサポートが終わります。

PHP 8.5.11、8.4.26、8.3.35、8.2.34（2026年9月）CVE-2026-91768, CVE-2025-1218, CVE-2026-91769, CVE-2026-91767, CVE-2026-6103, CVE-2026-91765, CVE-2025-14181, CVE-2026-92842, CVE-2026-91766, CVE-2026-93682, CVE-2026-17545以前のセキュリティリリースです。2026年10月のリリースにもこの修正が含まれています。提供元のお知らせwww.php.netあわせて: ChangeLog-8.php公開日2026-09-24最終確認2026-10-22 (KST)評価（提供元）

提供元のページを参照

PHP：「セキュリティリリース」

修正版
  • 8.5:8.5.11以降
  • 8.4:8.4.26以降
  • 8.3:8.3.35以降
  • 8.2:8.2.34以降

バージョンの確認方法

ホスティングの管理画面

  • cPanel（Select PHP Version、MultiPHP Manager）や Plesk などの管理画面は、サイトごとの PHP バージョンを表示します。

管理画面またはプロジェクトのファイル

  • WordPress のサイトなら、ツール → サイトヘルス → 情報 → サーバー でサイトが実際に使う PHP のバージョンがわかります。

コマンドライン

  • サーバーで実行します。コマンドラインとウェブサーバーで別の PHP が使われることがあるので、サイトのバージョンは管理画面かサイトヘルスで判断してください。

    php -v

  • 一時的な phpinfo() のページでもバージョンがわかります。作った場合はすぐに削除してください。サーバーの情報を誰にでも見せてしまいます。

更新の手順

ホスティング会社やプラットフォームが管理している場合

  • マネージド・共用ホスティングなら、ホスティング会社に問い合わせてください。PHP によると、Linux ディストリビューションと長期サポート提供元はパッチを事前に受け取っています。 www.php.net

  • ディストリビューションはバージョン番号を変えずに PHP を修正することがあります。番号が古く見えたら、ホスティング会社に聞くか、提供元のお知らせやパッケージの変更履歴を確認してください。

自分でサーバーを運用している場合

  • 自分で運用しているなら、ディストリビューションの更新済み PHP パッケージを入れ、すべての PHP プロセス（PHP-FPM、Apache）を再起動して修正を読み込ませます。

  • コンテナなら、修正済み PHP のイメージを取得するか作り直し、コンテナを作り直します。

  • ボランティア運営の Remi リポジトリを使っている場合：PHP は 2026-10-21 に、同日の更新はないと伝え、ディストリビューションのパッケージかソースからのビルドを勧めました。 www.php.net

まだ更新できない場合

PHP 8.5.12、8.4.27、8.3.36、8.2.35（2026年10月）

PHP の言葉では「完全な緩和策はなく、更新だけが安全な選択です」。PHP は一部の経路を減らすものの「インストールを安全にはしない」設定も挙げています。サーバーを運用する人向けの内容です。 www.php.net

サーバー管理者向け
  • memory_limit=-1 を上書きできないように設定します。
  • post_max_size を低くします。
  • メモリはコンテナや cgroup の制限で抑えます（RLIMIT_AS や RLIMIT_DATA ではなく）。
  • session.upload_progress.enabled=0 にして、PHP プロセスを再起動します。
  • PHP 8.5 なら fatal_error_backtraces=0 にします。

ホスティング会社への聞き方

下の文をコピーし、[ ] の部分を埋めて、ホスティング会社のサポート窓口に送ってください。

お世話になっております。私のサイト [ドメイン] は御社のホスティングを利用しています。PHP が2026年10月21日にセキュリティ修正（8.5.12、8.4.27、8.3.36、8.2.35、CVE-2026-109618・CVE-2026-109619）を公開しました。私のサイトが使う PHP のバージョンと、ディストリビューションのバックポートを含めてこの修正がすでに入っているかを教えていただけますか。まだの場合、いつ更新されるか、PHP プロセスの再起動が必要かも知りたいです。よろしくお願いいたします。

提供元の情報源

最終確認 (KST)