PHPとNode.jsの重大な脆弱性、修正版と確認したい点

※このページにはアフィリエイトリンクが含まれています。

Webサイトやサーバーで広く使われているPHPとNode.jsで、2026年10月21日に、重大な脆弱性(ぜいじゃくせい。悪用されるおそれのある弱点)を直す修正版がそろって公開されました。

この記事では、それぞれの公式発表と、国内外の注意喚起をもとに、内容を整理します。

※この記事は、2026年10月時点の情報をもとにしています。

10月21日に何が発表されたか

PHPの公式サイトでは、10月21日に、2件の重大な脆弱性についてのセキュリティ情報と、修正版のリリースが告知されています。修正版の公開は、UTCの14時(日本時間の23時)と予告されていました。

同じ10月21日には、Node.jsの公式ブログでも、セキュリティリリースが発表されています。こちらは、合わせて10件の脆弱性を直したとのことです。

PHPの脆弱性と修正版

PHPの公式発表によると、今回の2件(CVE-2026-109618とCVE-2026-109619)は、認証なしで外部からコードを実行される「リモートコード実行」につながるおそれがあるとされています。深刻度は、CVSS v4.0(脆弱性の深刻さを表す指標)で9.2と案内されています。

1件目はメモリ不足の時の処理、2件目はリクエストの処理のあとに残る内部の状態に関わるものと説明されています。IPAの注意喚起では、2件を合わせて「PHP2shell」と呼ばれていることも紹介されています。

修正版は、PHPの公式サイトで、次のように案内されています。

• PHP 8.5系:8.5.12
• PHP 8.4系:8.4.27
• PHP 8.3系:8.3.36
• PHP 8.2系:8.2.35

影響があるのは、Webのリクエストを処理するすべてのPHPの環境とされていて、PHP-FPMやApacheのmod_phpなどが挙げられています。PHPのチームは、mod_phpの環境でのリスクが最も高いとしています。

公開までの流れと、古いバージョンの扱い

PHPのチームは、10月20日の時点で、翌21日に重大な修正を出すと予告していました。その告知には、詳細が先に公になった時などは、予定より早く出すこともあると書かれています。

セキュリティ企業のwatchTowrは、予定されていた10月22日の公開より前に、詳細がSNSに出回ったと説明しています。ただし、PHPの公式発表では、公開の時期を変えた理由には触れられていません。

サポートが終わっているPHP 8.1以前には、公式の修正版は出ていません。そのかわり、PHP 7.4、8.0、8.1向けに、最小限の修正を入れたソースコードが用意されたと案内されています。

また、PHP 8.2系は、2026年12月31日でサポートが終わる予定と案内されています。

Node.jsの10件の脆弱性

Node.jsの公式ブログによると、今回の10件のうち4件が「高」、3件が「中」、3件が「低」の深刻度とされています。中でも注目されているのが、データ圧縮の仕組み「Brotli」の展開処理で、決められた範囲の外にデータを書きこんでしまう脆弱性(CVE-2026-111497)です。

この脆弱性は、リモートコード実行につながるおそれがあると説明されています。報告者には、OpenAIのCodex Securityの名前が挙がっています。

修正版は、Node.jsの公式ブログで、次のように案内されています。

• Node.js 26系:v26.12.1
• Node.js 24系:v24.22.1
• Node.js 22系:v22.23.4

Node.js 20系は、2026年4月30日でサポートが終わっていて、今回の修正版の一覧には入っていません。公式ブログでは、サポートが終わったバージョンは、セキュリティリリースのたびに影響を受けるものと考えるよう案内されています。

国内外の注意喚起と、サイト停止の動き

アメリカのCISA(サイバーセキュリティ・社会基盤安全保障庁)は、PHPの修正版をすぐに当てるよう呼びかけています。すぐに更新できない場合や、PHP 8.1以前を使っている場合は、修正が済むまでシステムを止めることもすすめています。

国内では、IPAが10月22日に注意喚起を出しています。修正版を当てるのが難しい時は、暫定の対策やアクセスの制限、サービスの停止も検討するよう案内されています。

財務省は10月21日に、PHPの脆弱性への対応として、ホームページの一部のコンテンツやサービスを一時的に止めたと発表しています。Impress Watchによると、ネットショップや動画、ゲームなどのサービスでも緊急メンテナンスや一時停止が相次ぎ、一部の自治体もシステムの一時停止を予告したと報じられています。

悪用の状況と、気をつけたい点

CISAは、発表の時点では、PHPの脆弱性が悪用されたことは確認していないとしています。一方で、watchTowrは、10月21日から自社の観測網で悪用の動きを確認していると説明しています。

Node.jsの公式ブログには、悪用の状況についての記載はありません。

PHPの公式発表では、設定の変更で一部の攻撃の経路をふさぐ方法も紹介されています。ただし、それだけでは安全にならず、完全な対策は修正版への更新だけだと説明されています。

※PHPやNode.jsを更新する前に、サイトやデータのバックアップをとっておくと安心です。使っているレンタルサーバーやクラウドのサービスがある時は、それぞれの対応のお知らせもあわせて確かめておきたいところです。

おわりに

Webを支える2つの土台で、同じ日に重大な修正が出たことで、多くの運営者が確認に追われています。自分のサイトやサービスがどのバージョンで動いているかを、公式の情報とあわせて、落ち着いて確かめておくとよさそうです。