2026年10月21日、PHPに深刻度「緊急」の脆弱性2件が公表されました。認証を必要とせず、外部から任意のコードを実行される恐れがあるもので、共通脆弱性評価システム（CVSS v4.0）の評価は9.2です。
- 該当する脆弱性：CVE-2026-109618／CVE-2026-109619（GHSA-w8hw-w9fx-j79w／GHSA-6wmf-4rv5-p3rp）
- 修正版：PHP 8.5.12／8.4.27／8.3.36／8.2.35（2026年10月21日〜22日公開）
これはPHP本体の問題です。WordPressやプラグインを最新にしても解消しません。サーバーで動作しているPHPそのものを、修正版へ更新する必要があります。PHP開発チームは、回避策はなく更新だけが有効であると案内しています。
保守管理契約をいただいているお客様のサイトについて
BRIDGEでは、これまでに制作したサイト・Webサービスを一覧にして、1件ずつ次の順で確認と対応を進めています。
- 稼働中のPHPバージョンの洗い出し（サーバー側の実行環境で直接確認）
- 修正版が提供されている系統（8.2以降）は、修正版へ更新
- サポートが終了している系統（8.1以前）は、PHP開発チームからの修正が提供されません。サーバー会社が独自に修正を適用する場合があるため、各社の告知を確認しながら、サポート中のバージョンへの移行をあわせてご案内します
- 更新後の表示・動作の確認（画面ごとに実際の表示を照らし合わせます）
静的なページやPHPを使用しない構成のサイト・サービスは、今回の脆弱性の影響を受けません。この点も個別に確認しています。
対応が必要なサイトのお客様には、個別にご連絡します。お客様側でのお手続きは必要ありません。
保守管理契約のないサイトについて
制作のみをお受けしたサイトは、この対応の対象ではありません。ご契約のサーバー会社からの案内をご確認のうえ、お使いのPHPのバージョンをお確かめください。ご自身での確認が難しいときは、ご相談ください。
対応状況に進展があり次第、このページで更新します。
2026年10月22日
デザインオフィスBRIDGE