PHP に緊急度「Critical」の RCE 脆弱性。公式パッチが提供されない PHP 5 / 7 / 8.0 / 8.1 をどう守るか

2026年10月21日、PHP 開発チームは CVSS v4.0 で9.2と評価される深刻なRCE脆弱性2件の修正版を公開する見込みだと事前告知した。公式パッチが出る一方で、サポート終了済みの環境ではバックポート形式の最小限パッチが提供されるケースがあるとも伝えられている。

影響を受けるのは PHP 8.2 以降と、それ以前の版を含み、修正バージョンは 8.5.12・8.4.27・8.3.36・8.2.35 とされている。現時点で実運用環境での悪用は未確認だが、複数のセキュリティ企業が実在を確認・再現済みとする情報もある。

公式パッチが提供されない区分として、PHP 5.x・7.x・8.0/8.1はバックポート方式の対応が取られている。Mallory社の推計では、インターネット上の PHP ホスト約260万台のうち、約190万台が修正版を得られないブランチで稼働しているとされ、実環境のリスクが高い現実が浮かぶ。

現場の事情としてOS標準の PHP やアプリの互換性、ベンダー製品への同梱、予算・体制の制約があり、EOL版を長く使い続ける現状がある。短期対策として隔離・緩和策や延長サポートを組み合わせ、計画的な移行を進めるのが現実的との整理が提示されている。