穴をふさいだら、もっと大きな穴が見えてきた

📋 今回の3行まとめ

• 1 PHPに深刻な脆弱性（CVE-2026-109618・CVE-2026-109619）が公表。修正版は出たが、EOL済みのPHP・OSでは適用できないケースがある。（出典：JPCERT/CC、2026年10月22日）
• 2 PHP 7.4・8.0・8.1はすでにサポート終了。PHP 8.2は2026年12月31日に終了。CentOS 7・Amazon Linux 2もEOL済みで、OS側の制約により脆弱性修正が提供されない場合がある。（出典：php.net・各ベンダー公式）
• 3 脆弱性をふさぐだけでは不十分な時代に入った。攻撃を受けても業務を継続し、回復できる組織の力＝サイバーレジリエンスを、今から整備することが求められている。

🕐 PHP脆弱性の公表と対応

• 10/21
  2026年10月21日（米国時間）

  The PHP GroupがCVE-2026-109618・CVE-2026-109619のセキュリティアドバイザリを公開。修正版（PHP 8.2.35・8.3.36・8.4.27・8.5.12）を同日リリース。深刻度：高
• 10/22
  2026年10月22日

  JPCERT/CCが日本語で注意喚起（AT260030）を発表。悪用されるとPHP実行プロセス権限で任意コード実行の恐れがあると警告。
• 対象
  影響を受ける環境

  PHP-FPM・mod_php・php-cgi・FrankenPHP・LiteSpeed等、Webリクエストを処理する全環境。特にmod_phpは未認証リクエストのみで攻撃が可能とされる。未認証で攻撃可能
• 特例
  EOL版への特例対応

  深刻度の高さを考慮し、EOL済みのPHP 7.4・8.0・8.1にも最小限のソースコードバックポートが提供された。（出典：@IT / ITmedia、2026年10月23日）例外的措置

⛓️ 「修正できない」環境が存在する理由

更新の可否は、PHPの系列だけでなく、OS、配布元、保守契約、アプリケーションの互換性で異なります。上流で保守が終了した版でも、ディストリビューションや有償保守が修正を提供する場合があるため、見た目のバージョン番号だけで判断しないことが重要です。

期限の確認先：PHP公式　Ubuntu公式　Amazon Linux 2023公式　

📋 10月後半に公表されたインシデント（10月21日〜23日）

出典：サイバーセキュリティ.com（2026年10月）

✅ 今確認すべき3つのこと

• PHPのバージョンを確認する

  本番Webサイトで実際に使用しているPHPの系列・パッチレベル・配布元を確認します。サーバー内に複数のPHPがある場合、コマンドラインとWeb側で異なる版を使っていることがあるため、管理画面やベンダー資料も確認してください。上流の修正版だけでなく、配布元によるバックポートの有無も判断材料です。
• サーバーOSのサポート期限を確認する

  OSの標準保守期限だけでなく、延長保守の契約・有効化状況と対象パッケージを確認します。期限切れの場合は、更新先、検証方法、切り替え日、切り戻し手順を決めます。
• システム構成の把握を組織として行う

  サーバー、PHP、ライブラリ、バッチ処理、外部APIの関係と担当者を一覧にします。バックアップの取得だけでなく、別環境で復元できるか、必要な設定・鍵・手順が揃っているかを確認することを推奨します。