高市首相も注意喚起したPHPの重大脆弱性

2026年10月、ウェブサイトを動かす「PHP」に、第三者が遠隔から不正なプログラムを実行できるおそれのある脆弱性が2件公表されました。日本ではIPAが対策を呼びかけ、高市早苗首相もXでサイト運営者に対応を促しました。

「ネットで買い物をしただけで、私のスマホも危ないの？」と心配になるニュースです。まず対象を分けましょう。今回、修正が必要なのはPHPを使ってサイトやサービスを動かす側です。サイトを見た人全員の端末に、同じPHPの弱点があるという意味ではありません。

日本で起きたこと：注意喚起から修正公開まで

10月21日、IPAはPHPを利用するウェブサイトの棚卸しと更新準備を呼びかけました。翌22日には修正版の公開を受け、対象バージョンと対策を案内しています。これは日本国内で実際に行われた公的な対応です。注意喚起があったことと、日本の特定のサイトで被害が確認されたことは別です。 IPAの事前告知は、公表時点でこの2件を悪用した攻撃を同機構が確認したわけではないと記しています。

PHPは、WordPressを含む多くのウェブサービスの裏側で使われるプログラミング言語です。ただし「PHPを使うサイトがすべて侵入された」「閲覧しただけで個人情報が盗まれた」とは言えません。危険度は、実際のPHPの版、動かし方、修正状況などで変わります。

今回の2件は CVE-2026-109618 と CVE-2026-109619。PHP開発チームは、認証なしの遠隔コード実行につながる可能性があるとして更新を強く推奨しています。対象のサイトを管理する人は、利用中の版と提供元の案内をすぐ確認してください。

利用中の系列	PHP公式が公開した修正版
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

古い系列やレンタルサーバーの独自パッケージを使う場合は、版番号だけで決めず、提供元の修正状況を確認します。PHP 8.1以前はPHP本体の通常サポートが終了しています。詳しくはPHP公式のセキュリティ告知とIPAの対策情報を参照してください。

AIは何をした？　発見と修正は同じ仕事ではない

OpenAIの公表によると、セキュリティ企業CalifはAIモデルを使って重大な問題を発見し、Wizも独立して両方の問題を報告しました。PHPの保守担当者が問題を検証し、修正と公開を主導しています。

ここにAIの強みがあります。大量のコードから、人が追加調査すべき手掛かりを探せることです。一方で、AIが「数秒ですべての弱点を見抜き、自動で直した」わけではありません。PHP Foundationは、AIによる報告には誤りや重複もあり、修正の判断と作業は人が担うと説明しています。

PHP自体もオープンソースです。今回の教訓は「公開されたコードなら無条件に安全」ということではありません。問題を報告できること、保守する人がいること、修正版が利用者まで届くことが安全性を支えます。

いま取れる行動は、立場で違う

サイトを使う人： PHPの版を自分のスマホで直す必要はありません。利用サービスから障害や情報漏えいの公式案内が出ていないか確認し、便乗した「緊急更新」メールのリンクには飛びつかないでください。ブラウザーやOSは通常どおり公式の方法で更新します。

ブログや店舗サイトの運営者： 管理会社・制作会社・レンタルサーバーに「PHPの使用有無、現在の版、今回の2件への修正状況」を確認してください。WordPress本体やプラグインの更新だけで、サーバー側のPHP更新が済んだとは限りません。更新前にバックアップと動作確認の段取りも決めます。

自社サーバーの担当者： 公開中のPHP環境を洗い出し、公式またはディストリビューターの修正を適用し、実際に動く版を確認します。すぐ更新できない場合のアクセス制限や一時停止は、IPAが示す判断材料と業務影響を踏まえて検討します。暫定策だけで完全に安全になったとは扱いません。

「AI搭載」より、確認できる開発と更新を

今回のPHPの問題はウェブサーバー側のものです。日本語入力ソフトを別製品に替えても、この脆弱性は修正できません。それでも、毎日使うソフトを選ぶときに、提供元、更新履歴、サポート状況、公開された設計を確かめるという視点は共通しています。

KeyroIME OpenCoreは、Windows向け日本語入力の独立したGPLv3版としてコードを公開しています。KeyroIME Proは別の提供版です。コード公開やRustの採用だけで安全性を保証するものではありません。また、開発計画中のAI Proを、現在の脆弱性対策機能として紹介することもしません。関心があれば、公開コードとリリース情報をご自身で確かめてください。

AIが問題を見つけ、人が検証・修正し、利用者が更新する。この一連の流れまで届いて、初めて発見が防御になります。

情報確認日：2026年10月22日。脆弱性と修正版はPHP公式・IPA、AIによる発見と対応体制はOpenAI・PHP Foundationの公表を確認しました。状況は変わり得るため、運営者は最新の公式情報を参照してください。