【重要】PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関する対応について｜株式会社ノベルティ｜成果を出すウェブ戦略立案・制作・改善｜千葉県船橋市

平素より大変お世話になっております。
このたび、PHPの処理系（サーバー環境）において、認証を必要とせず外部からの攻撃により第三者による任意のコード実行（ウェブサイトの乗っ取り）を引き起こすおそれのある、重大なセキュリティ脆弱性（CVE-2026-109618、CVE-2026-109619 / 通称：php2shell）がPHP公式より公表されました。

本脆弱性はPHP自体の不適切なメモリ管理（メモリ破壊や状態維持）に起因するものであり、PHPを基盤として稼働する「WordPress」をはじめとした多くのCMS・Webシステムに広範な影響を及ぼします。

2023年までに当社で作成したウェブサイトにおいて同CMS等を提供しており、本日時点で保守管理契約のあるすべてのウェブサイトについて、調査および必要な対策を実施しております。

公表された脆弱性

• CVE-2026-109618（OOMによるメモリ破壊）
• CVE-2026-109619（不適切な状態維持によるメモリ破壊）(通称：php2shell / PHP公式 Security Advisory)

影響を受ける環境・バージョン

• PHP 8.2系、8.3系、8.4系、8.5系の修正パッチ未適用バージョン
• サポート終了済みの旧バージョン（PHP 8.1以前、7.x系、5.x系など）
• PHP上で稼働するWordPress等のCMS全般

※PHP公式発表によると設定による一時的な緩和策は存在するものの完全ではなく、「安全を確保するためにはPHPのアップデート（修正版：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以降への更新）が唯一の根本解決策」とされています。

本脆弱性について

本脆弱性は、認証やログインを必要とせず、攻撃者が遠隔からサーバー上で不正なプログラムを実行できる「遠隔コード実行 (RCE)」のリスクがあります。PHP公式アドバイザリによると、特にApache（mod_php）環境等ではアプリケーションコードが実行される前段階で攻撃が成立する実証が示されており、公表直後より世界中で実際の攻撃試行が確認されています。

保守管理契約のないお客様へ

当社では、保守管理契約をお持ちでないお客様をはじめ、ウェブサイトを運営されているすべてのお客様を対象に、本脆弱性へのセキュリティ対応を受け付けております。

「自社サイトが対象かわからない」
「直接更新して不具合が出るのが不安」
「安全に最新版へ移行したい」

上記のような場合も、現在の状況を確認いたしますので、まずは当社までお気軽にお問い合わせください。

【本件に関するお問い合わせ窓口】

お問い合わせ方法：お問い合わせフォーム / TEL: 047-405-2227
お客様のウェブサイトを安全に運用できるようサポートいたしますので、お気軽にご連絡ください。