Webサイトの構築において世界中で広く使われているプログラム言語「PHP」において、極めて重大なセキュリティ脆弱性「CVE-2026-109618」および「CVE-2026-109619」の2件が同時に公表されました。

今回の脆弱性は、WordPress固有のプラグインやテーマの欠陥ではなく、WordPressそのものを動かす土台である「PHP」本体に発見されたセキュリティの穴です。共通脆弱性評価システム（CVSS v4.0）においても最高レベルに近い危険度が割り当てられており、すでに攻撃コードの流通や不審なスキャンアクセスが観測されているため、すべてのWebサイト管理者・サーバー担当者にとって最優先で対処すべき緊急事態となっています。

目次

1. 脆弱性の詳細と影響の範囲

今回見つかった2件の脆弱性は、PHP内部の入力データ処理およびメモリ管理における欠陥に起因しています。

悪意のある第三者（外部の未認証の攻撃者）が特殊に工作したリクエストを送信することで、サーバー上で任意のプログラムを強制的に実行させる「リモートコード実行（RCE：Remote Code Execution）」が可能になります。

悪用された場合の被害

PHPは「サーバーサイド・スクリプト言語」であり、ユーザーがWebサイトへアクセスするたびに、データベース（MySQL / MariaDB）から記事データ等を引き出し、リアルタイムで動的にHTMLページを生成して表示する役割を担っています。WordPressの見た目を決める「ヘッダー（header.php）」や「個別ページ（single.php）」といったテンプレートファイル、さらには独自機能を追加する「functions.php」や各種プラグインも、すべてこのPHPの仕組みの上で動作しています。

脆弱性が悪用された場合、以下のような極めて深刻な被害に繋がるおそれがあります。

• サーバー上での任意コード実行（RCE） 攻撃者が外部から任意のPHPコードやシステムコマンドを直接実行可能になります。これにより、サーバーの制御権限が完全に奪われる危険性があります。
• データベース情報の全漏洩 PHPを経由してデータベースへの接続情報が読み取られ、保存されている顧客情報や会員データ、投稿データが一括で外部へ流出する恐れがあります。
• マルウェアの配置と感染拡大（踏み台化） サーバー内に暗号資産の発掘（マイニング）プログラムや、他のサイトを攻撃するためのマルウェアが配置され、自社のサーバーが犯罪の「踏み台」として悪用されてしまうケースが確認されています。

影響を受けるPHPのバージョン

今回の問題はPHP本体に起因するため、WordPressのバージョンや導入しているプラグインの種類に関わらず、該当するバージョンのPHP上で稼働しているすべてのWebサイトが影響を受けます。

• PHP 8.5系： PHP 8.5.11 以前のバージョン
• PHP 8.4系： PHP 8.4.26 以前のバージョン
• PHP 8.3系： PHP 8.3.35 以前のバージョン
• PHP 8.2系： PHP 8.2.34 以前のバージョン
• サポート終了バージョン（PHP 8.1 / 8.0 / 7.x 以前）： 【極めて危険】

特に注意が必要なのが、すでに公式サポートが終了している「PHP 8.1以前」の古いバージョンを利用している環境です。サポート終了（EOL）バージョンには公式のセキュリティパッチが提供されないため、無防備な状態が継続してしまいます。

2. 今すぐやるべき対策

修正済み安全バージョンへの更新

ご利用中のPHPのメジャーバージョンに合わせて、以下の安全なリリース以降へアップデートを実施してください。

• PHP 8.5系： PHP 8.5.12 以降
• PHP 8.4系： PHP 8.4.27 以降
• PHP 8.3系： PHP 8.3.36 以降
• PHP 8.2系： PHP 8.2.35 以降