2026年10月21日、PHPの公式が、同じ系統の修正版を公開しました。対象は 8.2.35、8.3.36、8.4.27、8.5.12 です。公開されている識別子は、CVE-2026-109618 と CVE-2026-109619 です。
必要だった対策
必要だったのは、いま動いているPHPを、同じ系統の修正版へ合わせることです。
- WordPressやプラグインの更新とは別件です。WordPressを更新しても、PHP本体の修正は終わりません。
- 8.2から8.3のように、系統を飛び越えないことです。系統を上げる場合は、サイトの動きを確認してからにします。
- 共有サーバーでは、管理画面に詳細な版が出ないことがあります。そのときは、公開ページの応答に出るPHPの版を、公式の同じ系統の修正版と照合します。すでに修正版なら、世代の選択は変えません。
当社がした対応
公開サイトの応答に出るPHPの版を確認し、公式の同じ系統の修正版と照合しました。すでに修正版だったものは、世代の選択を変えていません。事業者側の適用が終わっていないあいだは、系統も上げていません。WordPressの更新案内とは分けて、PHPとWordPressは別件としてお伝えしています。
NotionをCMSにしたNext.jsとの比較
当社のサイトは、NotionをCMSとして、Next.jsで配信しています。
- 公開サイト上には、管理画面と記事用のSQLを置いていません。
- Notionとの連携情報はサーバー側で持ち、読み取りと取得対象を限定しています。
- ブラウザのプログラムからNotionを直接操作することは出来ません。
- WordPressと比べると、公開サイト上の攻撃対象を格段に減らすことができます。
PHPを使わない配信は、PHPそのものの不具合の直接対象にはなりません。