PHPの重大な脆弱性2件に緊急修正　京都市が一部オンラインサービスを一時停止

多くのウェブサービスを支えるプログラミング言語PHPで、重大な脆弱性が2件見つかった。PHPの開発チームは10月21日（水）に修正版を公開した。翌22日、京都市はシステムの点検と修正プログラムの適用を進めるため、市のウェブサイトにある一部のフォームやサービスを一時停止すると発表した。

対応が必要なのは、自治体だけではない。企業やレンタルサーバー事業者など、PHPを使うサーバーの管理者にも関わる。一定の条件がそろうと、攻撃者が認証を受けずにサーバー上でコードを実行できるおそれがある。管理画面にパスワードを設定していても、ウェブからの要求を処理するPHP自体の欠陥は解消されない。

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。各番号は異なるバージョン系列に対応する。公式の注意喚起は速やかな更新を求めており、暫定的な防御策だけで完全な修正の代わりにすることはできない。

京都市がフォームを停止、侵入は確認されず

京都市によると、停止の対象には市の情報サイトにある問い合わせ、催しへの申し込み、アンケートなどのフォームが含まれる。市長への手紙や市政に関する問い合わせの窓口も対象だ。安全性を確認する間、ほかのページやサービスが利用できない場合もある。

10月22日午後3時の時点で、市が管理するサーバーについて、改ざんや情報漏えい、不正アクセスは確認されていなかった。市は情報を守るための予防的な停止として説明しており、被害が起きたと発表したわけではない。対象のサービスは安全を確認してから再開する方針だ。

停止中は利用者が手続きや問い合わせを送信できなくなる。一方で、使用中のPHPのバージョンと更新方法を調べる間、サービスを公開し続ければ危険にさらされる時間が延びる可能性がある。京都市の対応は、利用の継続と安全確認の間で管理者が迫られる判断を示している。

利用者には見えない部分にある欠陥

PHPはサーバー側で動き、ページの生成やフォームの受付、情報の読み出しなどに使われる。利用者が画面上でPHPという名前を目にすることは通常ない。台湾の資通安全署は22日、WordPress、Drupal、Joomla、Magentoといったシステムの基盤にもPHPが使われ、明示されていない製品に組み込まれている場合もあると注意を促した。

これらの製品を使うサイトがすべて侵入されたという意味ではない。管理者は、アプリケーションの更新だけでなく、それを動かすPHPの状態も確認する必要がある。両者は関係するが、同じ作業とは限らない。

PHPの注意喚起は、PHP-FPMやApacheのmod_phpなど、複数の動作方式に及ぶ。開発者は特にmod_phpを使う環境の危険性が高いとしている。問題はメモリーの扱いと、処理中の要求に関する内部状態にある。特定の条件下では、本来無効になっているはずのデータをサーバーが有効なものとして扱ってしまう。

脆弱性の識別番号はCVE-2026-109618とCVE-2026-109619。台湾の資通安全署は両方の深刻度を10点満点中9.2と評価した。これは技術上の危険度を示す数値であり、被害を受けた人や侵入されたサイトの数ではない。

修正までに時間がかかった理由

PHP Foundationによると、脆弱性の一つにつながる問題の兆候は、外部監査に関連した作業の中で2024年に見つかっていた。当時から悪用の可能性は議論されたものの、実際に成立する具体的な手法は確認されていなかった。

修正は容易ではなかった。従来のプログラムとの互換性を損なう案や、別の障害につながりかねない案があり、多数の拡張機能に変更を求める可能性もあった。同財団は、判断の遅れや専門人材の不足により作業が中断と再開を繰り返したと認めている。

2026年8月に寄せられた新たな報告で危険性の範囲が明確になり、修正は優先課題となった。同財団は、同様の問題を長期間放置しないため、セキュリティーチームと意思決定の方法を見直したとしている。

行政や企業が共通の技術に依存する一方、その安全を保つには、欠陥の調査、関係者との調整、修正版の配布に継続して取り組む体制が欠かせない。

管理者が確認すべきこと

まず使用中のPHPのバージョンを把握し、契約先やシステム提供元に対応する修正が利用できるか確かめる必要がある。PHP 8.1以前の系列には、PHPプロジェクトから通常の更新版は提供されていない。ただし、一部の提供事業者は古い系列向けに修正を移植している。表示されるバージョン番号だけで判断せず、実際の対応状況を確認することが重要だ。

クラウドサービスのHerokuは、新しいPHPを利用するためアプリケーションの再デプロイを利用者に求めた。同社の古いPHP 8.1環境にも修正を適用したが、サポート対象の系列への移行を推奨している。必要な作業は、利用するサービスとサーバーの管理者によって異なる。

台湾の資通安全署は、更新後にログや不審なアクセスを調べ、異常の兆候があればアカウントと認証情報も確認するよう勧めている。修正を適用すれば既知の欠陥は解消できるが、更新前に何が起きていたかまで証明できるわけではない。利用者には一時的な停止として見えても、管理者の作業は更新を確かめ、安全にサービスを再開できる段階まで続く。