NEWS
お知らせ
2026年10月21日、PHPの開発元から重大な脆弱性の修正版が公開されました。当社が管理する全てのクライアントサイトについて、サーバー事業者による修正の適用が完了していることを確認しましたので、ご報告いたします。
お客様にご対応いただくことはありません。
脆弱性の概要
今回公表されたのは CVE-2026-109618 と CVE-2026-109619 の2件です。いずれも深刻度は最高位に近い「緊急」に分類され、条件が揃うと、認証を経ずに外部からサーバー上でプログラムを実行される恐れがあるものです。PHPはホームページを動かす基盤のソフトウェアで、WordPressをはじめ多くのサイトが利用しています。
当社の対応
修正版が公開された当日から、当社で管理している全てのサイトについて、どのサーバーのどのPHPバージョンで動いているかを一つずつ確認しました。そのうえで、サーバー事業者ごとの対応状況を追跡し、適用が完了したことを実機で確かめています。
| サーバー | 事業者の対応 | 当社の確認 |
|---|---|---|
| ConoHa WING | 2026年10月22日 20時45分に対応完了を発表 | 提供中の全12バージョンについて、事業者の発表内容と当社サーバー上の状態が一致することを確認 |
| CORESERVER | 2026年10月22日 0時50分に対応完了を発表 | 提供中の全15バージョンで対応完了 |
| エックスサーバー | 2026年10月22日 6時45分までに適用完了を発表 | 当社管理サイトが修正版で動作していることを確認 |
バージョン番号が変わらない場合があります
今回、ConoHa WING と CORESERVER は「利用中のバージョンを維持したまま、修正プログラムだけを取り込む」方法で対応しています。
そのため、WordPressの「サイトヘルス」画面などでPHPのバージョンをご確認いただくと、開発元が公開した修正版の番号ではなく、これまでと同じ番号が表示される場合があります。これは対応が漏れているのではなく、事業者が意図してそのようにしているものです。表示される番号にかかわらず、修正は適用済みです。
当社の考え方
セキュリティに関する情報は、発表されてから実際に危険が及ぶまでの時間が年々短くなっています。今回も、修正版の公開前から攻撃が観測されていたと報告されています。
当社では、お客様のサイトについて「事業者が対応しているはずだ」で終わらせず、実際にどうなっているかを確かめることを続けています。今回も、各サーバーに入って稼働中のPHPを直接確認し、事業者の発表と突き合わせました。あわせて、同種の事案が起きた際に速やかに気づけるよう、サーバーの状態を自動で監視する仕組みを運用しています。
ご不明な点がございましたら、お気軽にお問い合わせください。