PHPの重大な脆弱性 — 中国拠点の駐在員がまず確認すべきこと

2026年10月20日、PHP公式のセキュリティチームから重大な脆弱性が2件ある旨の予告が出ました。いずれも深刻度（CVSS v4.0）は9.2と評価されています。明友電脳系統（上海）ではIT・ネットワーク保守の一環として、お客様サーバーへの影響確認と修正適用に対応しています。中国に拠点を置く日系企業では、IT専任がおらず駐在員の方だけが現地窓口になることも多く、「何を誰に聞けばよいかわからない」というお問い合わせを昨日から受けています。本稿では、専門用語を抑えてまず確認すべきことを整理します（技術詳細はPHP公式の発表を随時ご確認ください）。

いま分かっていること・まだ発表されていないこと

PHP公式の予告（2026年10月20日）では、修正版が10月21日 14:00（UTC）／日本時間 23:00に公開される見込みとされています。一方、執筆時点では公式から対象バージョン・修正版の番号・技術的な原因はまだ出ていない場合があります。閲覧時は必ずPHP公式の最新情報をご確認ください。

EU向けの注意喚起（CERT-EU Security Advisory 2026-018）では、CVE-2026-109618およびCVE-2026-109619が挙げられ、認証なしでサーバー上のコードが実行される可能性（RCE）について警告されています。これは漏洩情報に基づく「可能性」として記載されており、PHP公式が確定した内容ではありません。「すべてのPHPが対象」と決めつけることもできません。

CVSS 9.2は「被害が92%出る」という意味ではなく、欠陥の深刻度を0〜10で表した数字です。自社サイトへの実際のリスクは、バージョン・公開方法・設定によって変わります。

「PHP」はどこにある？ — 駐在員向けのイメージ

ブラウザで見ているページの裏側（サーバー）で動くプログラム言語のひとつがPHPです。WordPressやお問い合わせフォームなど、動的なWebサイトではよく使われます。すべてのサイトがPHPを使っているわけではなく、静的HTMLだけのサイトは該当しません。

• 下層：サーバー（OS）— 明友の保守対象になりやすい領域
• 中層：PHP本体 — 今回の修正の対象
• 上層：WordPress・テーマ・プラグイン — 別の更新作業

WordPressを最新にしていても、PHPは別です

「WordPressは常に更新しているから大丈夫」という声をよく聞きます。WordPress本体の更新とPHPの更新は別です。管理画面の「サイトヘルス」→「情報」→「サーバー」でPHPのバージョン表示は確認できますが、表示された数字だけでは今回の対象かどうかは判断できません（対象バージョンは公式発表を待つ必要があります）。中国ではレンタルサーバー会社がPHPを提供しているケースが多く、切り替えやパッチはホスティング会社または保守委託先の作業になることがほとんどです。

駐在員・総務の方が今日できること

サーバー設定を自分で変更する必要はありません。次の確認と依頼から始めてください。

• 会社が公開、利用しているサイト、システムを確認する
• 各サイトの管理者を特定する（自社IT、日本本社、中国の制作会社、レンタルサーバー、明友など）
• 保守契約がある場合は、「PHP 10月の重大脆弱性への対応状況」を問い合わせる
• 「対応済み」と言われたら、いつ・何を適用したかを文面で残す
• 修正適用後は、ログイン・お問い合わせ・主要ページの動作確認を依頼する

そのまま使える問い合わせ文（保守会社・IT担当向け）

次の文面をコピーして、サイト名・URLを差し替えてお使いください。

いつもお世話になっております。2026年10月20日にPHP公式から発表された重大な脆弱性2件（CERT-EUでは CVE-2026-109618 / CVE-2026-109619）について確認させてください。

• 当方のサイト（サイト名・URL）で、実際に動いているPHPのバージョン
• 今回の脆弱性の対象に当たるか（公式発表に基づくご確認）
• 修正の適用予定（担当者・日程）と、当方で必要な作業
• 適用後の動作確認（ログイン・フォーム等）の結果共有

明友での対応について

明友電脳系統（上海）では、中国拠点の日系企業向けにITネットワーク保守を提供しています。サーバー・ネットワーク機器の監視、パッチ適用、バックアップ確認、障害時の初動まで、日本語で窓口を一本化できます。今回の件でも、お客様環境のPHPバージョン確認、ホスティング会社との調整、修正後の動作確認を10月21日以降順次実施しています。社内に専任ITがいない場合は、お問い合わせください。

やってはいけないこと

• 互換性を確認せず、PHPのメジャーバージョンを急に切り替える
• 確認のため、phpinfoなど設定情報をインターネットから見える場所に置く
• 「誰かがやっているはず」で、窓口と期限を決めない

個別環境の可否は公式情報と保守担当の判断に従ってください。情報は2026年10月22日時点です。