2026年10月21日、PHPの開発チームより、PHP本体に影響する重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619）が公表され、修正版がリリースされました。深刻度はいずれもCVSS 9.2と評価されており、ログイン不要で外部から任意のコードを実行される（リモートコード実行）おそれがあります。すでに攻撃の試みも報告されているため、早急な対応が必要です。
■ 修正版
PHP 8.5.12／8.4.27／8.3.36／8.2.35
これより前のバージョンは影響を受けます。PHP 8.1以前は公式サポートが終了しており、PHPプロジェクトからの更新は提供されません。
■ 推奨される対応
・修正版PHPへのアップデートと、Webサーバー（PHP-FPM・Apache等）の再起動
・PHP公式の案内（10月23日）に基づく暫定対策として、php.ini で session.upload_progress.enabled を 0（無効）に設定
・PHP 8.1以前をご利用の場合は、サポート対象バージョンへのアップグレード
※PHP 8.2 も2026年12月31日にサポート終了予定です。PHP 8.3以降への移行もあわせてご検討ください。
当社では、脆弱性の影響調査、修正版PHPへの緊急アップデート、サポート終了版PHPからのバージョンアップ・旧システム移行を承っております。「自社のサイトが影響を受けるかわからない」「制作会社と連絡が取れない」など、お困りの際はお気軽にお問い合わせください。
参考：PHP公式サイト https://www.php.net/archive/2026.php