【解説】PHPに「緊急」の脆弱性2件
EC-CUBEなど自社運用サイトは更新を急ぐ
PHPの開発元（The PHP Group）は2026年10月21日、PHP本体の深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正したPHP 8.5.12・8.4.27・8.3.36・8.2.35を公開し、すべての利用者にすぐ更新するよう呼びかけました。前日の20日には修正版の公開を予告しており、日本ではIPA（情報処理推進機構）も21日に事前準備を促す情報を出しています。EC-CUBEやWordPressなど、PHPで動くECサイト・オウンドメディアを自社で運用している事業者は、早急な確認が必要です。
何が変わる？
開発元の発表によると、2件はいずれも、ログインなしの外部からのアクセスでサーバー上のプログラムを動かされる（リモートコード実行）おそれがある脆弱性です。ポイントは次のとおりです。
- 対象は、Webのリクエストを処理しているPHPのほぼすべて：PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが挙げられています。特にmod_phpは危険度が高いとされています。
- 修正版：8.5系は8.5.12、8.4系は8.4.27、8.3系は8.3.36、8.2系は8.2.35です。LinuxディストリビューションやLTS提供元には事前にパッチが渡されており、各社の更新パッケージも確認するよう案内されています。
- 8.1以前は公式の更新なし：PHP 8.1以前は開発元の更新対象外です。7.4・8.0・8.1向けには最小限の修正コードが用意されたものの、AWSのセキュリティ情報は5.4〜8.1系について、サポート中の版への移行が必要としています。なお、8.2系も2026年12月31日でサポートが終わります。
- 設定変更は応急処置にすぎない：すぐに更新できない場合の設定変更（アップロード進捗機能の無効化など）も示されていますが、開発元は、完全な対策は更新だけだと明記しています。
IPAは21日時点で、この脆弱性を悪用した攻撃は確認していないとしたうえで、攻撃者が短時間で悪用する可能性を指摘し、PHPの利用状況の棚卸しを求めています。
EC事業者への影響
影響の大きさは、サイトの作り方によって変わります。
- EC-CUBEなど、自社でサーバーを持つ構成：PHPの更新は自社（または保守を任せている制作会社）の作業です。サーバーを乗っ取られると、注文情報や会員情報の流出、カード入力画面の改ざんにつながりかねません。古いEC-CUBEを古いPHPのまま動かしているサイトは、更新版がないため、より慎重な判断が必要です。
- WordPressのオウンドメディア・LP：ECの本体がSaaS型カートでも、記事サイトや特設ページをWordPressで別に運用しているケースは多く、こちらも同じく対象です。
- SaaS型カート：サーバーの更新は提供元の作業です。たとえばfutureshopは、予防措置として21日夜から全店舗のECサイト・管理画面・API等を止めて対応し、22日昼の時点でも安全確認のため再開見込みを延ばしていました。自社で更新する必要はなくても、停止中の受注や問い合わせへの備えは必要です。
受注連携や在庫連携のツール、予約・会員システムなど、自社で見えにくいところでPHPが動いている場合もあるため、「うちはSaaSだから関係ない」と決めつけないことが大切です。
今やるべきこと
- 自社が運用するサイト・ツール（EC本体、WordPress、LP、管理系ツール）を書き出し、PHPで動いているものと、そのバージョンを確認する
- PHPが8.2〜8.5系なら、修正版（8.2.35／8.3.36／8.4.27／8.5.12以降）に更新されたか、サーバー会社・制作会社に確認する
- 8.1以前で動いているサイトは、サポート中の版への移行計画をすぐ立て、それまでの応急処置（設定変更やWAF）を保守担当と相談する
- 利用中のカート・サーバー会社・アプリ提供元のお知らせを確認し、停止やメンテナンスの予定があれば、お客様への告知文を用意する
- 更新後は、カート・決済・会員ログインなど主要な画面が正しく動くか一通りテストする
設定や移行でお困りの場合は、LOTを運営する株式会社Ruskaにご相談ください。
