PHP脆弱性の概要とお客様にお願いしたい対応
2026年10月21日（米国時間）、PHPプロジェクトは、2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）への修正版を公開しました。いずれもCVSS v4.0で9.2（Critical）と評価され、条件によっては認証されていない第三者によるリモートコード実行につながる可能性があります。
これらはマイクロソフト自体ではなく、PHPランタイムに起因する脆弱性です。
[2026 年 10 月 22 日 10:00 更新]
マイクロソフトは、他の多くの組織と同様に PHPを利用する立場 にあり、マイクロソフトが運用するサービスのうち影響を受けるものについて、優先度に基づき更新を進めています。また、Azure Linux や Azure App Service の組み込み PHP ランタイムなど、マイクロソフトが PHP をお客様へ提供するサービスについては、それぞれの提供経路を通じて PHP の修正を順次反映します。
[2026 年 10 月 23 日 6:00 更新]
マイクロソフトは引き続きPHPの脆弱性について調査を進めていますが、現時点では、PHPを使用しているMicrosoftのファーストパーティ製品は確認されていません。また、この脆弱性に起因して、Microsoftのエンタープライズサービスのセキュリティに影響が生じていることも認識していません。
[2026 年 10 月 26 日 15:00 更新]
本脆弱性は、マイクロソフト製品のコードに起因する脆弱性ではありません。マイクロソフトは、他の多くの組織と同様に PHP を利用する立場にあり、これらの PHP の脆弱性が、自社製品およびサービスに与える影響について、引き続き調査しています。現時点で、PHP を使用しているマイクロソフトのファーストパーティ製品は確認されておらず、また、これらの脆弱性による当社のエンタープライズサービスのセキュリティへの影響も認識していません。マイクロソフトは、自社が管理するコンポーネントで PHP が使用されている場合には、その更新を優先し、必要に応じて更新を適用しています。 Azure Linux や Azure App Service の組み込み PHP ランタイムなど、マイクロソフトがサービスの一部としてお客様に PHP を提供している場合、他の Linux ディストリビューションやクラウドプロバイダーと同様に、マイクロソフトはそれぞれの提供チャネルを通じて PHP の修正プログラムを提供しています。
影響を判断するには、PHPの利用箇所を把握したうえで、ランタイムの更新管理をMicrosoft・お客様・第三者提供元のどこが担当するかを確認します。以下の図と表は一般的な管理区分を示したものであり、個別サービスの影響を確定するものではありません。
| 管理区分 | 対象例 | お客様が確認すること |
|---|---|---|
| Microsoftが更新管理 | Microsoftが管理するクラウドサービスの基盤・組み込みコンポーネント（Azure App Serviceの組み込みPHPランタイムは一例） | Microsoftが更新を実施。利用中の構成や適用状況は、公開情報に基づき確認します。 |
| お客様が更新管理 | Azure VMに導入したPHP、App Serviceのカスタムコンテナー、AKSのアプリケーションイメージなど | お客様がPHPの確認、修正版適用、必要に応じた再ビルド・再展開を実施します。 |
| 製品・サービス提供元を確認 | 第三者提供のWordPressホスティング、ベンダー製品、SaaSなど | PHPを誰が管理するかを確認し、提供元の影響調査・更新情報を参照します。 |
Microsoftが管理するコンポーネントについて
Microsoftが更新管理を担当するクラウドサービスのコンポーネントでは、必要なセキュリティ対応がMicrosoft側の管理のもとで実施されます。
通常、Microsoft管理範囲のすべての製品・サービスについて、個別の対応状況が案内されるわけではありません。今回のように関心が高い脆弱性については、必要に応じて特定の製品・サービスに関する追加情報が公開される場合があります。
ただし、すべての製品・サービスについて情報公開が行われることを保証するものではありません。 個別の情報がないことだけでは、影響の有無や対応完了を判断できません。
なお、Microsoft管理の組み込みランタイムを使用する場合でも、アプリケーションのコードや設定など、お客様の管理範囲に属する部分の確認・更新が不要になるわけではありません。
お客様にご確認いただきたい事項
- 利用箇所の特定：Webサイト、VM、コンテナー、開発・検証環境、第三者製品などでPHPが使用されていないか確認する。
- 管理主体の確認：Microsoft・お客様・第三者提供元のどこがPHPを管理するかを確認する。
- 更新：お客様管理のPHPには修正版を適用し、コンテナーは必要に応じて再ビルド・再展開する。
- 監視：Webサーバーのログ、不審なプロセスや通信などを確認する。
PHPプロジェクトは8.5.12／8.4.27／8.3.36／8.2.35を修正版として案内しています。OSやLTS製品ではバックポートされる場合があるため、提供元の修正情報も併せてご確認ください。
詳細01｜PHPの重大な脆弱性：技術的な概要
1. 2件の脆弱性
CVE-2026-109618：OOM処理に関連する脆弱性
メモリ不足（Out of Memory）発生時に、PHP内部のリクエストデータが一部のみ初期化された状態となり、終了処理で不適切に扱われる場合があります。結果としてメモリ破損や、条件次第で任意のコード実行につながるおそれがあります。
CVE-2026-109619：内部状態の残存に関連する脆弱性
リクエスト固有の内部状態が、参照先メモリの解放後も保持される場合があります。その状態が後続の処理に影響し、任意のコード実行につながる可能性があります。
2. 深刻度と影響
| 項目 | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| CVSS v4.0 | 9.2（Critical） | 9.2（Critical） |
| 攻撃経路 | ネットワーク | ネットワーク |
| 攻撃の複雑さ | 高 | 高 |
| 認証・ユーザー操作 | 不要 | 不要 |
| 想定影響 | リモートコード実行 | リモートコード実行 |
PHP公式では、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境を対象として注意喚起しています。実際の成立条件は構成によって異なります。
3. 影響バージョンと修正版
| PHP系列 | 修正版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
PHP 8.1以前はPHP公式サポート対象外です。今回の脆弱性については例外的にPHP 7.4／8.0／8.1向けの限定的なソース修正が提供されていますが、通常のサポート再開を意味しません。PHP 7.3は提供元のバックポート修正の有無を確認し、サポート対象版への移行をご検討ください。
PHP 8.2も2026年12月31日に公式セキュリティサポートが終了する予定です。移行計画を併せてご検討ください。
4. 想定される被害
- 機密情報の漏えい・不正アクセス
- サーバー上での悪意あるプログラム実行
- 業務データの改ざん・削除
- Webサービスの停止や追加攻撃
5. 推奨対処
直ちに更新できない場合、PHP公式アドバイザリでは一部の攻撃経路を低減するための設定上の緩和策も案内されています。ただし完全な対処ではないため、PHP公式情報を確認し、アクセス制限などと組み合わせた一時措置として検討してください。
6. 参考情報
詳細02｜Microsoft 365オンラインサービスの影響範囲と対応方針
1. 影響範囲と対応方針
現在（2026年10月23日 8時00分）、Microsoft 365オンラインサービスへの影響は確認されておりません。また現時点で、本脆弱性におけるお客様による必要な作業等は確認させれておりません。
詳細03｜Azureサービス別の影響範囲と対応方針
1. 影響判断の考え方
Azureを利用しているだけで今回の脆弱性の影響を受けるわけではありません。まず「PHPの利用有無」と「誰がPHPランタイムを管理しているか」を確認してください。WindowsやIISは標準でPHPを含まず、別途導入したPHPがある場合に確認が必要です。
2. Azureサービス別一覧
| サービス・環境 | 確認対象 | 主な対応者と対応 |
|---|---|---|
| Azure App Service（組み込みPHP） | Linux上の組み込みPHPランタイム | Microsoft：ランタイムの更新／お客様：実行中バージョンとアプリ動作確認 |
| Azure App Service（カスタムコンテナー） | イメージ内のPHP | お客様：イメージの再ビルド・再展開 |
| Azure VM（Windows／IIS） | 追加導入したPHP／FastCGI | お客様：PHP更新、アプリプール等の再起動 |
| Azure VM（Linux） | PHP・PHP-FPM・Apache構成 | お客様：OS提供元の修正版パッケージ適用 |
| AKS／Container Apps／ACI | コンテナーイメージ内のPHP | お客様：修正版イメージへ更新 |
| Azure Linux | 導入済みPHPパッケージ | お客様：パッケージ更新 |
| Marketplace／第三者製品 | 製品が内部で使用するPHP | 発行元と管理範囲を確認 |
3. Azure App Serviceの注意点
MicrosoftはApp Service for Linuxの組み込みPHPランタイムの修正版イメージをPlatform Release Channelに応じて展開しています。2026年10月21日付の公式発表では、Latest／Standardチャネルへの修正版展開が完了したことが案内されています。ExtendedはStandardより後に更新されるため、利用中のチャネルと実行中バージョンをご確認ください。
Microsoftは、Extendedを利用中の場合はStandardまたはLatestへの変更を推奨し、インターネット公開などの高リスクなアプリではLatestを検討するよう案内しています。App Serviceの「Stack settings」から「Platform Release Channel」を設定できます（ポータル表示は変更される場合があります）。なお、サポート終了版のPHPはチャネル変更だけでは更新されません。
4. コンテナー環境の注意点
AKSのノードやホストOSを更新しても、既存コンテナー内のPHPは修正されません。PHPベースイメージ更新、再ビルド、レジストリへの登録、新イメージの再展開が必要です。
5. Microsoft管理範囲の情報公開
Microsoftが管理するコンポーネントについては必要な対策が進められますが、すべてのサービスの個別対応状況が公開されるとは限りません。情報がないことをもって、影響がない・修正済みであると断定しないでください。
6. 参考情報
詳細04｜PHPバージョンの確認・更新手順
1. 調査・更新の基本手順
- PHPを使用するリソースを洗い出す（Web、VM、コンテナー、アプライアンスなど）。
- 対象のPHPを実際に実行しているプロセス・イメージを特定する。
- 更新元と互換性、停止可能時間、バックアップ・ロールバックを確認する。
- 修正済みパッケージまたはランタイムに更新する。
- 再起動・再展開と、バージョン・動作確認を実施する。
2. Windows／Linux共通
コマンドライン上のPHPバージョンは、次のコマンドで確認できます。
php -v3. Windows Server／IIS
PowerShellでコマンドの存在を確認する例：
Get-Command php -ErrorAction SilentlyContinue
php -vIISではFastCGI設定などで実行ファイルの場所を確認し、PHP公式の修正版Windowsビルドを適用してください。更新後は対象アプリケーションプールのリサイクル等を行い、稼働バージョンを確認します。
4. Ubuntu／Debian
php -v
sudo apt update
apt list --installed 'php*'
apt list --upgradableディストリビューションのセキュリティアドバイザリを確認し、対象PHPパッケージを更新します。バックポートによりバージョン表示がPHP公式修正版と異なる場合があります。
5. RHEL系／Azure Linux
# RHEL系
rpm -qa | grep '^php'
sudo dnf check-update
# Azure Linux（tdnf導入環境）
sudo tdnf check-updateOSベンダーから修正済みパッケージが提供されていることを確認して適用してください。更新対象のPHP-FPMなどのサービスは必要に応じて再起動します。
dnf info php などで確認できます。6. Azure App Service
App Serviceの構成されたスタックを確認する例：
az webapp config show --name <WebApp名> --resource-group <RG名> --query linuxFxVersion構成値だけではPHPのパッチレベルを判定できない場合があります。対応するLinux App Serviceでは、AzureポータルのSSH機能やKudu WebSSHで稼働中のPHPバージョンを確認します。
https://<アプリ名>.scm.azurewebsites.net/webssh/hostphp --version7. コンテナー
Dockerが利用できる環境でイメージに含まれるPHPの確認例：
docker run --rm <イメージ名> php -v
docker build -t <更新後イメージ名> .修正版のベースイメージを利用して再ビルドし、対象のプラットフォームに再展開してください。
8. 更新後チェック
- 実際に稼働するPHPが更新されたこと
- Web/API・拡張モジュール・主要業務機能が正常なこと
- ログやヘルスチェックに異常がないこと
- コンテナーが新しいイメージで稼働していること
9. 参考情報
詳細05｜Microsoft Defender・Azure WAFによる対策
1. 対策の位置づけ
2. Microsoft Defender for Endpoint
Webサーバー、PHP-FPM、Apache等から起動する不審なシェルやスクリプト、異常な外部通信、Webシェルの作成を示す動作などを確認します。アラート単体で今回のCVEが悪用されたと断定せず、周辺ログと突き合わせてください。
3. Microsoft Defender for Cloud
有効なプランと保護対象に応じて、仮想マシン・コンテナー等の脆弱性評価、推奨事項、実行時アラートを確認します。セキュリティ推奨事項の有無だけで今回のCVEの影響有無は判断できません。
4. Microsoft Defender Vulnerability Management
該当CVEが脆弱性管理に収録されている場合、露出端末やソフトウェアの情報を確認できます。収録状況・センサーの適用範囲により表示されない場合があるため、PHPの利用状況は別途確認してください。
5. Azure Web Application Firewall（WAF）
| WAFサービス | 主な確認事項 |
|---|---|
| Azure Front Door WAF | 該当攻撃への緩和策、管理ルールセット、適用ログ |
| Application Gateway WAF | 利用中ルールセット・WAFポリシー・検知／遮断ログ |
| Application Gateway for Containers | 提供機能と個別の緩和策の対応状況 |
Microsoftは2026年10月21日に今回のPHP2Shellに関するAzure WAF緩和策を公開しています。Front Door／Application Gateway／Application Gateway for Containersでは対策が異なります。具体的なルールと展開状況は Microsoft公式ブログ をご確認ください。誤検知や正常な通信への影響を評価し、PHP更新の代替とはしないでください。
6. 更新までの一時対応
- インターネット公開や接続元IPを制限できないか確認する。
- 不要なエンドポイントや管理機能の公開を停止する。
- WAFと監視を強化する（PHP更新の代替ではない）。
- 侵害が疑われる場合はログ保全・封じ込め・調査を実施する。
7. 参考情報
- Defender for Endpoint
- Defender for Cloud
- Defender Vulnerability Management
- Azure Front Door WAF
- Application Gateway WAF
詳細06｜Microsoft管理クラウドサービスの対応方針
1. 今回の脆弱性とMicrosoftの関係
CVE-2026-109618およびCVE-2026-109619はPHPプロジェクトのPHPコードに存在する脆弱性であり、Microsoft製品コードそのものに起因するものではありません。MicrosoftがPHPを提供・運用する範囲では、必要に応じて修正が適用されます。
2. 管理責任を分けて確認
| 対象 | 主な更新主体 | お客様の確認 |
|---|---|---|
| App Service組み込みPHPランタイム | Microsoft | 稼働バージョン・更新チャネル・アプリ動作 |
| VMにお客様が導入したPHP | お客様 | パッケージ更新・再起動 |
| カスタムコンテナーのPHP | お客様 | イメージ再ビルド・再展開 |
| 第三者提供SaaS／アプライアンス | 提供元・契約に依存 | 提供元への影響と修正状況の確認 |
3. Microsoft管理コンポーネントの更新
Microsoftが更新管理するクラウドサービスの基盤コンポーネントについては、Microsoftの管理プロセスに沿って必要なセキュリティ対応が行われます。ただし、特定の製品・サービスの更新が完了しているかについては、確認可能な公表情報から判断してください。
4. 情報公開について
すべてのMicrosoft製品・サービスについて個別の対応状況が公開されるとは限りません。注目度の高い脆弱性では、必要に応じて製品・サービス別の追加情報が公開される場合がありますが、公開を保証するものではありません。
5. お客様向け確認事項
- PHPを導入しているか。組み込みPHPか独自導入か。
- サポート対象のランタイムを使用しているか。
- Microsoft管理外のアプリケーション・拡張機能・コンテナーがないか。
- 第三者提供製品の発行元によるセキュリティ情報があるか。
6. 参考情報
詳細07｜PHP脆弱性に関する公式参考情報一覧
1. 本一覧について
今回のCVEに直接関連する脆弱性情報と、各Azureサービス・セキュリティ製品の一般的な運用資料を掲載しています。一般的な製品資料へのリンクは、そのサービスが今回の脆弱性の影響対象であることを意味しません。
2. サービス別の公式参考URL
| サービス・分野 | 公式資料 | URL |
|---|---|---|
| PHP脆弱性の概要 | PHP公式Security Advisory | 公式ページを開く |
| CVE-2026-109618 | PHP GitHub Security Advisory | 公式ページを開く |
| CVE-2026-109619 | PHP GitHub Security Advisory | 公式ページを開く |
| PHP修正版 | PHP公式ダウンロード | 公式ページを開く |
| Azure App Service | Critical PHP Security Release | 公式ページを開く |
| App Service管理 | OS and runtime patching | 公式ページを開く |
| Azure VM | Azure Update Manager | 公式ページを開く |
| AKS | AKS cluster security | 公式ページを開く |
| Container Apps | Azure Container Apps | 公式ページを開く |
| Azure Linux | Azure Linux | 公式ページを開く |
| Defender for Endpoint | Microsoft Learn | 公式ページを開く |
| Defender for Cloud | Microsoft Learn | 公式ページを開く |
| Defender Vulnerability Management | Microsoft Learn | 公式ページを開く |
| Azure Front Door WAF | Microsoft Learn | 公式ページを開く |
| Application Gateway WAF | Microsoft Learn | 公式ページを開く |
| WordPress | Security overview | 公式ページを開く |
| Drupal | Security advisories | 公式ページを開く |
| MSRC | Microsoft Security Response Center | 公式ページを開く |
3. 確認時の注意点
- PHP公式の脆弱性情報を最優先で参照してください。
- Azureサービスの更新状況はチャネル・構成により異なります。
- 第三者提供ソフトウェア・SaaSは提供元の案内を確認してください。
- 新たなセキュリティ情報が公表された場合には本一覧を更新してください。
本記事は2026年10月22日時点の情報をもとに作成しました。セキュリティ情報、各サービスの更新状況、検出機能は変更される場合があります。対応時は製品提供元の公式情報の最新版をご確認ください。