【緊急】PHPに重大な脆弱性2件、深刻度9.2｜10月21日23時に修正版公開へ！情シス・DX担当者が今すぐすべき対策

2026年10月21日、企業のWebサイトや業務システムで広く利用されているプログラミング言語「PHP」に、深刻度が最高区分の「緊急（Critical）」に該当する脆弱性が2件あることが明らかになりました。

いずれもCVSS v4.0で9.2と評価され、修正版は日本時間10月21日午後11時に公開される予定です。

PHPはWordPressをはじめ、多くの企業サイトやWebアプリケーションで使われています。企業の情報システム部門やDX担当者は、自社への影響を確認し、修正版を迅速に適用できる体制を整える必要があります。

PHPの重大な脆弱性2件とは？10月21日23時に修正版公開予定

PHPのセキュリティチームは、2件の重大な脆弱性に対応する修正版を公開すると発表しました。

欧州のCERT-EUはPHP 5以降のバージョンが影響を受ける可能性を指摘していますが、10月21日夕方時点では、PHP公式による詳細な対象バージョンや攻撃条件は公表されていません。

IPAも今回の脆弱性を悪用した攻撃を現時点では確認していないと説明する一方、修正版の公開後、速やかに適用できるよう事前準備を呼び掛けています。

最優先は、自社のWebサイトやシステムでPHPを利用しているかを把握することです。

WordPress、ECサイト、会員サイト、社内システム、独自開発アプリケーションなどを確認し、使用しているPHPのバージョン、サーバー、管理担当者を整理してください。外部公開されているシステムを優先することが重要です。

レンタルサーバーやクラウド環境を利用している場合、PHPの更新作業を誰が担当するのか確認してください。

「Webサイトの保守を外注しているから大丈夫」とは限りません。

委託先へ、対象システムの確認状況、修正版の適用予定、作業責任者を問い合わせ、対応完了まで確認することが必要です。

PHPのバージョン更新によって、既存のプログラムやプラグインとの互換性に問題が生じる可能性があります。

修正プログラムの公開前にバックアップを取得し、可能であれば検証環境で動作を確認してください。更新後はログイン、問い合わせフォーム、決済、データ連携など主要機能の確認も重要です。

すぐに更新できないシステムについては、外部からのアクセス制限や一時停止などの代替措置を検討してください。

特に、インターネットに公開された重要システムについては、業務影響とセキュリティリスクを比較し、必要に応じて一時的に外部ネットワークから切り離す判断も求められます。

10月21日23時の公開予定時刻以降、PHP公式およびサーバー提供会社の案内を確認し、影響を受ける環境へ修正版を適用してください。

また、更新後の動作確認だけでなく、不審なアクセス、異常なファイル変更、予期しないエラーなどが発生していないかも確認しておきたいところです。

今回の件で重要なのは、PHPそのものの脆弱性だけではありません。

企業のDX推進が進むほど、Webサイト、業務アプリケーション、クラウド、外部委託先など、管理すべきシステムは複雑になります。

その結果、「どのシステムがPHPを使っているのか」「誰が更新するのか」「緊急時に誰が停止を判断するのか」が不明確になっている企業も考えられます。

脆弱性が発見されてから対策を考えるのではなく、脆弱性が発見された際に、どのシステムを、誰が、何時間以内に更新できるのか。

この仕組みを日頃から整備することが、企業のセキュリティ対策では欠かせません。

今回のPHP脆弱性を、自社のシステム資産管理、委託先との責任分担、緊急時の更新体制を見直す機会にすることが重要です。

ERP / DX SUPPORT

DX推進とセキュリティ対策を
別々に考えていませんか？

企業のDX推進、システム導入、運用体制の見直しまで、実務的な視点から課題整理をサポートします。まずは現在の課題をお聞かせください。

※本記事は2026年10月21日夕方時点の公開情報に基づいています。修正版の公開後は、対象バージョンや修正内容について最新の公式情報をご確認ください。