何が出たか
PHP の開発元（The PHP Group）は2026年10月21日、2つの脆弱性を直した修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公開しました。悪用されると、外からサーバー上で好きなプログラムを動かされるおそれがあります。これを受けて10月22日、IPA（独立行政法人情報処理推進機構）が前日の「事前準備のお願い」の続報を、JPCERT/CC が注意喚起を出し、修正版の適用を呼びかけています。10月22日の時点で、どちらも実際の攻撃を確認したとは書いていません。
まず1つ確かめること
自社のホームページの PHP が修正版になっているかを確かめてください。レンタルサーバーを使っているなら、まずサーバー会社のお知らせを見て、わからなければ作った業者・保守している業者に聞いてください。
IPA は「PHP 8.1以前のバージョンは『End of life（サポート終了）』を迎えています」と書き、修正版が出ない古い PHP なら更新や移行を考えるよう求めています。サポートが終わった古い PHP のままなら、その点も聞いてください。
公式の発表
IPAPHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)2026年10月22日 ↗
JPCERT/CCPHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起2026年10月22日 ↗
The PHP GroupSecurity advisory: Critical remote code execution vulnerabilities, update now（英語）2026年10月21日 ↗
