修正版は今夜23時。公式はまだCVE番号も対象バージョンも出していない

• 修正版は日本時間10月21日23時に公開予定
• 公式はCVE番号も脆弱性の内容も対象バージョンも、まだ出していない
• サポートが切れた版は、対象の一覧に載らない。安全という意味ではない

PHPに重大な脆弱性が2件見つかり、修正版が今夜公開される。各社が緊急メンテナンスに入っている。

この記事を書いているのは21日19時30分。公開まであと3時間半になる。

いま出回っている情報には公式が言っていないものが混ざっているので、そこを分けて書く。

公式が言っていること

PHPの開発側が出したアナウンスは、驚くほど短い。

2件の重大な脆弱性に対処する、来たるPHPのセキュリティリリースをお知らせします（いずれもCVSS v4.0 で 9.2、Critical）。

リリースは2026年10月21日（水）14:00 UTCに予定されています。

すべてのPHP利用者に、いますぐ準備して、公開され次第すぐ更新できるようにしておくことを推奨します。

いずれかの脆弱性の詳細が公になった場合、または実際に悪用されている証拠が見られた場合は、早めにリリースする権利を留保します。

14:00 UTC は日本時間の23時だ。

CVSSの9.2は最も深刻な区分になる。9.0以上がCriticalだ。

公式が言っていないこと

ここが大事だと思う。アナウンスに書かれていない項目を並べる。

• CVE番号
• 脆弱性の内容（何ができてしまうのか）
• 影響を受けるバージョン
• 修正版のバージョン番号

つまり「自分が対象かどうか」は、まだ誰にも分からない。

これらは23時の公開と同時に明らかにされる予定になっている。

出回っている情報との区別

すでにCVE番号を書いている記事がある。遠隔からコードを実行されるものだとか、PHP 5まで遡って影響するといった話も見かける。

これらは公式のアナウンスには書かれていない。裏が取れる状態ではない。

筆者も確認した。21日19時20分の時点で、PHPの最新版は 8.5.11 のままで、修正版はまだ出ていない。公式の脆弱性情報にも、該当するものは載っていない（最新の掲載は9月24日のもの）。

だからいまの段階で中身を論じても意味がない。やるべきは準備だけになる。

実際に、いくつも止まっている

19時22分に自分で確認した結果を書く。

さくらはサービスごとに時間を区切ってメンテナンスを実施している。告知によれば、レンタルサーバとマネージドサーバが21日13時から22日8時頃、VPSが21日15時から22日18時頃だ。

このほか、保育園向けのサービスやゲーム、ネットショップの作成サービスなども緊急メンテナンスに入っていると報じられている。

借りている側のサイトは、たいてい動いている

紛らわしいので書いておく。エックスサーバーの公式サイトは止まっているが、そこで動いているサイトは表示される。

実際、このサイト（エックスサーバー上にある）は19時22分の時点で正常に表示された。

止めているのは自社の公式サイトと管理画面で、これは予防的な措置だと報じられている。利用者のサイトを止めているわけではない。

まず確認するのは、自分のバージョン

対象バージョンが発表されていない以上、いまできるのは自分の数字を知っておくことだけになる。23時に一覧が出たとき、すぐ照らせる状態にしておく。

PHPのサポート状況

公式の一覧を見ると、こうなっている。

8.0のセキュリティサポートは3年近く前に終わっている。

サポート切れは、一覧に載らない

前日、今月の不正アクセスが多い理由を書いた。調査会社が挙げていた落とし穴の1つが、これだった。

サポート終了のバージョンに対しては脆弱性が対象かどうかのチェックも行われず、パッチも出なければ脆弱性情報も出ません。

つまり今夜23時に対象バージョンが発表されても、サポートの切れた版は一覧に載らない可能性が高い。

載らないのは安全だからではない。調べていないからだ。

「自分のバージョンが一覧になかったので大丈夫」と読むと、いちばん危ない側に入ってしまう。一覧に無い＝対象外ではない。ここは間違えないほうがいい。

今夜やること

難しいことは何もない。

1. 自分のPHPのバージョンを確認する
2. 23時以降に、対象バージョンの発表を見る
3. レンタルサーバーなら、提供元の告知を待つ

バージョンの調べ方

• WordPress — 管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」
• レンタルサーバー — 管理画面に「PHPバージョン切替」などの項目がある
• コマンドが使えるなら — php -v

レンタルサーバーを使っている場合

自分で更新する必要はない場合が多い。提供元が入れ替える。

ただしバージョンを自分で選んでいる場合は別だ。古いものを選んだままだと、そこには修正が来ない。

いま各社が止まっているので、管理画面に入れないこともある。その場合は明日でいい。慌てて設定を変えて、サイトが表示されなくなるほうが困る。

上げる前に注意

PHPを上げると古いコードが動かなくなることがある。

先週、古いコードは新しいPHPでも構文チェックが通るという記事を書いた。文法が通っても、動きが変わる部分がある。

• いきなり本番で上げない。テスト環境か、戻せる状態を作る
• 上げた後は、フォームと決済と管理画面を触って確かめる
• プラグインやテーマが対応しているか見る

とはいえサポートが切れたまま使い続けるほうが危ない。順番の問題であって、やらない理由にはならない。

自分の製品も見直した

ついでに確認した。昨日書いたCMSの動作要件はPHP 8.2以上としている。

8.2のセキュリティサポートは2026年12月31日までだ。あと2か月しかない。

要件としては間違っていないが、「8.2以上」と書いてあると8.2で始める人が出る。推奨を上げるべきだと思った。これは直す。

この記事の限界

はっきり書いておく。この記事は修正版が出る前に書いている。

• 対象バージョンが分かっていない
• 何ができてしまう脆弱性かも分かっていない
• 修正版の番号も分かっていない

23時以降に公式を見てほしい。内容が分かった段階で、改めて書く。

まとめ

• 修正版は日本時間10月21日23時（14:00 UTC）に公開予定
• 脆弱性は2件。いずれもCVSS 9.2でCritical
• 公式はCVE番号も内容も対象バージョンも、まだ出していない
• 出回っている詳細は裏が取れていない
• エックスサーバーの公式サイトとBASEは503（19時22分に確認）
• ただし借りている側のサイトは、たいてい動いている
• 8.0と8.1はサポート終了。8.2も12月31日まで
• やることはバージョンの確認と、23時以降の発表を見ること

出典

• PHP「[ANNOUNCE] Upcoming Critical PHP Security Release」（2026年10月20日。2件の脆弱性、CVSS 9.2、リリース日時、早期リリースの条件。引用の日本語は筆者による訳）
• PHP「Supported Versions」（各バージョンのサポート期限）
• さくらインターネット「緊急メンテナンス実施のお知らせ」（対象サービスと実施時間）
• 各サイトの状態（エックスサーバー、BASE、さくら）と、PHPの最新版が8.5.11のままであることは、筆者が2026年10月21日19時22分に確認した

本記事は修正版が公開される前の2026年10月21日19時30分時点の情報に基づく。脆弱性の内容と対象バージョンは未公表であり、公開後に状況が変わる。必ず公式の発表と、利用しているサービスの告知を確認すること。本記事は法的な助言ではない。