PHPの脆弱性2件で更新へ、IPAがサイト運営者らに事前準備を呼びかけ

IPA(情報処理推進機構)は2026年10月21日、PHPの更新適用に向けた事前準備を呼びかけた。対象はPHPを使うサイトの運営者や、ウェブアプリの開発者だ。

何が分かっているのか

今回の対象は、PHPの脆弱性(攻撃に悪用されるおそれのある弱点)2件だ。IPAの発信時点では、修正プログラムは未公開である。IPAは、この2件を悪用した攻撃を確認していないとしている。

今回の呼びかけは、悪用のおそれを踏まえた予防的なものだ。攻撃が確認されたという発表ではない。一方、IPAは更新公開後、攻撃者が極めて短時間で攻撃を実行する可能性があると警告している。

影響範囲にも未確認の部分がある。IPAが紹介したCERT-EUの注意喚起では、PHP 5以降が影響を受けるとされる。ただし、IPAの発信時点では、影響を受ける詳細なバージョンや修正版は確認できていない。

かんたんに言うと

今回の事前準備は、建物の修理に備え、対象の設備がどこにあるかを先に調べる作業に似ている。修正プログラムの公開を待つ間に、運用中のプログラムでPHPを使っている場所を整理する、ということだ。

IPAは、開発・運用中のプログラムについて、可能な範囲でPHPの利用状況を棚卸しするよう求めている。ここでいう棚卸しは、利用の有無や使っている箇所を確認する作業を指す。

確認先はサイトだけではない。IPAによると、PHPはソフトウェア製品やネットワーク機器の内部でも使われる場合がある。ただし、内部での利用は、製品の利用者側では把握できない場合もあるという。

運営者や製品利用者が確認すること

IPAが求めているのは、把握できる範囲の確認と、公開後の速やかな更新だ。製品については、マニュアルや開発元・提供元のセキュリティ情報を確認するよう案内している。

利用中の全製品について、PHPを使っているか個別に調べるよう求めているわけではない。この点は、自ら開発・運用するプログラムの棚卸しとは区別している。

また、IPAはサポートが終了した古いPHPを使い続けるサイトやサービスも確認している。更新の対象を把握するうえでは、こうした利用状況の確認も関係する。

まとめ

The PHP Groupは、脆弱性2件を修正する更新を公開予定だ。IPAによると、公開予定は2026年10月21日23:00(日本時間)である。詳細の公開や悪用の確認があれば、前倒しの可能性もある。

現時点では、確認済みの情報と未確認の影響範囲を分けて捉える必要がある。IPAは追記すべき情報があれば注意喚起ページを随時更新する予定で、運営者らには続報の確認と更新への備えが求められる。