Webサイトを動かすソフトウェア「PHP」に重大な脆弱性が見つかり、修正版が公開されました。サイト運営者は管理会社に対応状況を確認してください。また、普段利用しているサービスからのメールでも、突然の支払いやパスワード入力を求める内容は、別の経路で確認することが大切です。
今回、何が問題になっているのでしょうか
PHPは、Webサイトや問い合わせフォームなどをサーバー側で動かすためのソフトウェアです。利用者が普段その名前を意識していなくても、サイトの裏側で使われていることがあります。
PHP開発元は10月21日、ログイン認証なしで外部からプログラムを実行されるおそれがある、2件の重大な脆弱性を修正したと発表しました。識別番号はCVE-2026-109618、CVE-2026-109619です。Webからのリクエストを処理するPHP環境が確認の対象になります。
これは、PHPを使うすべてのサイトが被害を受けた、という意味ではありません。影響を受ける環境や更新状況を確認し、必要な対策を急ぐべき問題です。
この脆弱性で、不審なメールが届くことはあるのでしょうか
不正侵入の結果として、不審なメールの送信につながる可能性はあります。
PHPにはメールを送信する機能があります。 サーバーへの侵入が成立し、攻撃者がその環境のメール送信機能や、そこに保存された送信用の認証情報などを利用できれば、メール送信を悪用することが考えられます。アクセスできる情報や権限によっては、顧客情報の窃取やサイトの改ざんにもつながり得ます。
ただし、これは技術的に考えられる被害の説明です。本記事で確認した資料から、今回の脆弱性を原因とする不審メールが広く発生していることや、今後必ず増えることまでは確認できていません。 不審なメールが届いたことだけで、その送信元企業が今回の被害に遭ったと判断することもできません。
一方で、今回の問題に限らず、実在する企業の名前や本物のメールアドレスを装ったフィッシングメールはあります。 「知っている会社から届いたように見える」という理由だけで、安全と判断しないでください。
メールを受け取った方に、気をつけていただきたいこと
次のようなメールは、操作や支払いをする前に確認してください。
- 「至急」「本日中」「利用停止」などと急がせ、ログインや支払いを求める。
- 突然、振込先の変更や、パスワード・カード情報の入力を求める。
- 心当たりのない請求書や添付ファイルが届く。
確認するときは、メール内のリンクや電話番号を使わず、登録済みのブックマークや公式アプリ、以前から把握している連絡先を使ってください。 差出人の表示や文章の自然さだけでは判断が難しい場合があります。［4］ 振込先変更など金銭に関わる連絡は、いつもの担当者へ電話などで確認する運用にしておくと安心です。
すでにパスワードを入力した場合は、正規のサイトやアプリから速やかに変更し、サービス提供元へ相談してください。カード情報を入力した、送金したなどの場合は、カード会社や金融機関にもすぐ連絡してください。
自社のWebサイトを持つ事業者が、今確認すること
まず、ホームページの制作会社・保守会社、またはレンタルサーバー会社に、次の3点を確認してください。
- 自社サイトや関連するフォームなどで、PHPを使っているか。
- 今回の2件の脆弱性への対応は完了しているか。
- 対応が必要な場合、いつ完了するか。それまでアクセス制限などが必要か。
問い合わせは、次の内容で構いません。
PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、当社サイトへの影響と対応状況を教えてください。未対応の場合は、対応予定と、それまでに必要な措置もお知らせください。
開発元が公開した修正版は、PHP 8.5.12／8.4.27／8.3.36／8.2.35です。ただし、提供元が既存のバージョンに修正を取り込む場合もあるため、表示される番号だけで判断せず、提供元の案内を確認してください。古いPHPを使っている場合も、対応方法を確認する必要があります。設定変更などの暫定策だけでは完全な対策にはならず、修正の適用が必要です。
専門知識がない状態で設定を変更するより、まず管理担当者に連絡してください。不審なメールの送信やサイトの書き換えなどが見つかった場合は、更新作業に加え、記録を保全したうえで侵害の有無や影響範囲の調査も依頼しましょう。
自社の確認と、社内へのひと声を
今回、事業者として進めたいのは、「自社サイトの対応状況を確かめること」と「不審なメールへの対応を社内で共有すること」です。
「メールのリンクから急いで操作しない」「お金や認証情報に関わる依頼は、いつもの連絡先で確かめる」。少人数の会社やお店でも、この2つを共有しておきましょう。
本記事は2026年10月22日に確認した情報に基づいています。個別サービスの被害や対応完了を示すものではありません。最新の状況は、開発元と各サービス提供元の公式案内をご確認ください。
参考情報
- PHP開発元：2026年10月21日 Security advisory／修正版公開情報
- PHP公式マニュアル：Mail
- 警察庁：フィッシング対策
- IPA：インターネットサービスへの不正ログインによる被害が増加中
コメントを投稿するにはログインしてください。