2026.10.22
【重要】PHPの脆弱性についてのご案内
お客様各位
株式会社ガーディアンでございます。
平素は弊社サービスをご利用いただき、厚くお礼申し上げます。
PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、ご連絡いたします。
■ はじめに
今回の件について、お客様側でご対応いただく作業はございません。対象の確認から対策の実施、実施後のサイト動作確認まで、すべて弊社にて行います。
■ 概要
Webサイトの裏側で動く基本プログラム「PHP」に、外部から不正に操作される恐れのある欠陥が見つかりました。開発元から対応方法が公開されており、弊社にて順次対策を行います。被害を未然に防ぐための予防的な対応です。
【技術的な説明】
本脆弱性は、認証を経ずにリモートからコードを実行される（RCE）恐れのある重大なものです（CVSS v4.0スコア 9.2）。Webリクエストを処理するすべてのPHP環境（PHP-FPM、Apache mod_php、php-cgi等）が影響を受けます。PHP開発チームより修正版および推奨設定が公開され、早急な対応が強く推奨されております。
■ 対策の内容
弊社では、お客様のサーバの状況に応じて、以下のいずれかの施策を順次実施いたします。
施策① 修正パッチの適用
PHPを修正版へアップデートします。根本的な対策であり、適用可能な環境ではこちらを優先します。適用後は、CMS・各種機能・独自プログラムが従来どおり動作することを弊社にて確認し、万一不具合があれば弊社にて修正します。
施策② PHP公式が推奨する設定への変更
OS・PHPのバージョン等の事情により直ちに修正パッチを適用できない環境では、PHP開発チームが公表している推奨設定（メモリ上限・リクエストサイズの制限、セッション関連設定の変更等）へ変更し、攻撃を受ける可能性を低減します。公式見解として、この設定変更は特定の攻撃経路への露出を減らすものであり、修正パッチに代わる完全な対策ではないとされています。そのため、施策②を実施した環境につきましても、PHP開発チームからの追加情報をもとに対策を継続いたします。
対策が完了したお客様へは、順次ご連絡を差し上げます。
以上、ご連絡申し上げます。
何卒よろしくお願いいたします。