世界のWebサイトの約7割（69.3%）で採用されているプログラミング言語PHPにおいて、深刻度が最高区分「緊急」（CVSS v4.0 スコア9.2）に該当する2件の重大な脆弱性が公表されました。
本記事では、今回の脆弱性の概要、日本国内における影響と各サービスの対応状況、および弊社DEHA SOLUTIONSの対応体制についてお知らせいたします。
PHPにおける2件の重大な脆弱性の概要
2026年10月20日（日本時間21日）、PHPセキュリティチームより2件の重大な脆弱性を修正する緊急アップデート（PHP 8.5.12、8.4.27、8.3.36、8.2.35）がリリースされました。
-
対象の脆弱性（PHP2Shell）
-
CVE-2026-109618: メモリ不足（OOM）発生時に未初期化の内部データを参照してしまう不具合。
-
CVE-2026-109619: 解放済みメモリを誤って再利用してしまう「Use-After-Free」の不具合。
-
-
影響と想定リスク
-
外部の攻撃者により、認証不要でサーバー上のプログラムを不正に遠隔実行されるRCE（リモートコード実行）の危険性があります。
-
WordPressやEC-CUBE、Nextcloudをはじめ、PHP環境下で稼働する幅広いWebシステムやサービスが影響を受けます。
-
日本政府・首相による異例の注意
本件の影響範囲と危険性の大きさを受け、高市早苗首相も自身の公式X（旧Twitter）アカウントにて「大至急、PHPパッチ適用を」と異例の呼びかけを行いました。
さらに、パッチの即時適用が難しい環境においては、攻撃リスクを低減させる予防措置として「Webサイトの一時停止も有効策の一つ」と言及するなど、国を挙げて厳戒態勢を促す事態となっています。
【日本国内の動向】予防的メンテナンスやサービス一時停止が相次ぐ
「国内Webサイトは実際に停止しているのか？」という懸念に対し、結論として、多くの主要プラットフォームや企業が予防的措置として即座に緊急メンテナンスや一時サービス停止を実施しました。
-
主な対応・一時停止の事例
-
大手プラットフォーム・Webサービス: pixiv、ニコニコ動画、BASE、エックスサーバー、さくらインターネット、TimeRexなど。
-
その他の業界: 静岡銀行などの金融機関、自治体関連システム、ソーシャルゲーム各社、各種ECサイトなど。
-
-
対応の背景
これらの停止措置は、不正アクセス等の被害を受けたためではなく、修正パッチが公開されてから適用が完了するまでの無防備な時間をなくすための「予防的安全対策」として実施されたものです。
DEHA SOLUTIONSの対応状況
弊社DEHA SOLUTIONSでは、公式情報の発表直後より、PHP環境を採用されているすべてのお客様への情報共有およびご連絡を速やかに完了いたしました。
現在、管理・運用を担当する対象システムに対し、システムの安全性を最優先に確保すべく、修正パッチの適用やバージョンアップ・メンテナンス作業を順次進めており、大半の対応が完了（最終確認段階へ移行）しております。
つきましては、
・「自社サイトや社内システムのPHPバージョンが古く、対応手順がわからない」
・「緊急でセキュリティパッチの適用やバージョンアップを任せたい」
とお悩みの企業様は、ぜひ弊社までご相談ください。
弊社のエンジニアチームが、貴社システムの安全な運用の維持に向け、迅速に対応・支援いたします。
