世界のWebサイト7割で使われるPHPに深刻な脆弱性が2件公表され、日本時間21日に修正パッチが公開された。国内企業や政府系サービスも緊急メンテに追い込まれ、高市総理が注意喚起を行う異例の事態となった。
PHPのセキュリティチームは、深刻度が緊急の2件の脆弱性を修正する特別リリースを予告した後、21日にPHP本体の複数バージョンを緊急公開した。公開されたのは8.5.12、8.4.27、8.3.36、8.2.35の四系統で、対処が急がれている。
脆弱性はCVE-2026-109618とCVE-2026-109619。前者はメモリ不足時に内部データが読み取られる可能性、後者は解放済みメモリ情報が再利用される可能性がある「Use-After-Free」問題で、条件が揃えばリモートからのコード実行につながり得るとされる。
影響はWordPressやNextcloudなどPHP上で動作する代表的システムに及ぶほか、サーバー構成次第で攻撃成立条件が変化する。Apacheのmod_phpやPHP-FPM、php-cgi、LiteSpeed等の実行環境を点検する必要がある。
国内ではさくらインターネット、pixiv、ニコニコなどが緊急メンテに入り、企業サイトやオンラインサービスの停止・メンテナンスが相次いだ。高市総理がXで対応を呼びかける場面もあり、政府・関係者が警戒を強めている。