使っている製品の、
影響するバージョンと、やることをすぐ確認。
検索範囲：PHP。下のボタンで範囲を変更できます。
PHPの脆弱性
取得済みデータから 69 件PHPにおける複数の任意のコードが実行可能な脆弱性（CVE-2026-109618、CVE-2026-109619）PHP 本体JVNVU99905564重要度：未評価悪用状況：未確認公式の対策情報あり
公式情報を整理した日本語解説・作成 2026/10/24 17:31 JST
どんな危険？
サーバ上で任意のコード実行が行われる可能性があります。
自分は対象？
JVNが公表している対象範囲です。 PHP 8.5.12より前のバージョン PHP 8.4.27より前のバージョン PHP 8.3.36より前のバージョン PHP 8.2.35より前のバージョン
利用中の製品名・開発元・版を、この対象範囲と照らし合わせてください。OSや製品の種類、機能の設定、例外の記載がある場合は、番号だけでなくその条件も確認します。自分で判断できない場合は、下の確認メモを管理担当者に渡してください。
- 対象の版
- 対象の版番号は取得データにありません。下の確認メモで管理者に確認できます。
- 修正版
- 版番号の一覧は未確認です。公表された具体的な対策は「どうすればいい？」に記載しています。
どうすればいい？
パッチを適用する 開発者が提供するパッチを適用してください。
「JVNVU99905564」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：コード実行PHP 本体CVE-2026-109618重要度：深刻悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/24 23:30 JST
どんな危険？
攻撃者は認証不要でリモートからコードを実行でき、Web ワーカーアカウントの権限で任意の処理を行える可能性があります。
自分は対象？
攻撃者は認証なしでリクエストを送信できることが前提です。
Apache mod_php 環境では、リクエスト開始が失敗した後でもリクエストシャットダウン手順が無条件に実行されます。
ほか5項目は詳細ページへ
- 対象の版
- PHP：8.2系の8.2.35未満PHP：8.3系の8.3.36未満PHP：8.4系の8.4.27未満PHP：8.5系の8.5.12未満
- 修正版
- 8.2.358.3.368.4.278.5.12
どうすればいい？
パッチが適用された PHP 8.2.35、8.3.36、8.4.27、8.5.12 以降に更新してください。
レンタルサーバーは、サーバー会社に対象サイトのPHP更新を依頼するか、同社の管理画面で修正を含む提供版へ変更します。自分で管理しているサーバーは、管理者がOS・配布元の正規パッケージで更新し、必要なサービスの再起動まで行ってください。系列を変える場合はアプリの互換性も確認します。
PHP：コード実行PHP 本体CVE-2026-109619重要度：深刻悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/24 23:30 JST
どんな危険？
攻撃が成功すると、ウェブワーカーの権限でリモートコード実行が可能となり、メモリ情報の漏洩や任意コードの実行が行われます。
自分は対象？
攻撃者は認証不要で、PHP が同一ワーカー上で複数の HTTP リクエストを処理する環境であることが必要です。
攻撃には「プロデューサー」と「コンシューマー」の二つの操作が必要です。プロデューサーはリクエスト所有の状態をグローバルに保存し、リクエストメモリが解放された後も残ります。
ほか5項目は詳細ページへ
- 対象の版
- PHP：8.2系の8.2.35未満PHP：8.3系の8.3.36未満PHP：8.4系の8.4.27未満PHP：8.5系の8.5.12未満
- 修正版
- 8.2.358.3.368.4.278.5.12
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
PHP：脆弱性情報PHP 本体CVE-2026-93682重要度：中悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:02 JST
どんな危険？
結果として、リダイレクト先が非決定的になり、クライアントが意図しないパスへ誘導される可能性がある。
自分は対象？
PHP の HTTP ストリームラッパーがリダイレクトをたどり、サーバーから返されたレスポンスの Location ヘッダーが空である場合にのみ影響を受ける。攻撃者がそのサーバーを制御しているか、リダイレクト先を操作できることが前提条件である。
公式の対象表：PHP Group / PHP。影響ありとして記載：8.2系のうち、8.2.34未満。影響ありとして記載：8.3系のうち、8.3.35未満。影響ありとして記載：8.4系のうち、8.4.26未満。影響ありとして記載：8.5系のうち、8.5.11未満。
- 対象の版
- PHP：8.2系の8.2.34未満PHP：8.3系の8.3.35未満PHP：8.4系の8.4.26未満PHP：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
PHP を 8.2.34、8.3.35、8.4.26、8.5.11 以降のバージョンにアップデートする。
レンタルサーバーは、サーバー会社に対象サイトのPHP更新を依頼するか、同社の管理画面で修正を含む提供版へ変更します。自分で管理しているサーバーは、管理者がOS・配布元の正規パッケージで更新し、必要なサービスの再起動まで行ってください。系列を変える場合はアプリの互換性も確認します。
PHP：脆弱性情報PHP 本体CVE-2026-92842重要度：中悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:02 JST
どんな危険？
ヒープ上の隣接メモリがフィルタ出力に混入するため、エンコード結果を返すアプリケーションはそのバイト列をリクエスト側に漏洩させます。NUL バイト以降のオプション長を伸ばすことで漏洩量を増やすことが可能です。アロケータやビルドによってはクラッシュする可能性もありますが、実際のリスクは情報漏洩です。
自分は対象？
アプリケーションが line-break-chars オプションに攻撃者が制御可能なバイト列を渡し、そのバイト列に埋め込まれた NUL が含まれていること。
エンコード結果が外部に返される（リクエスト側が取得できる）こと。
ほか1項目は詳細ページへ
- 対象の版
- PHP：8.2系の8.2.34未満PHP：8.3系の8.3.35未満PHP：8.4系の8.4.26未満PHP：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
3 つのコンストラクタで pestrdup() を pestrndup(lbchars, lbchars_len, persistent) に置き換え、割り当てサイズが記録された長さと一致するように修正します。
レンタルサーバーは、サーバー会社に対象サイトのPHP更新を依頼するか、同社の管理画面で修正を含む提供版へ変更します。自分で管理しているサーバーは、管理者がOS・配布元の正規パッケージで更新し、必要なサービスの再起動まで行ってください。系列を変える場合はアプリの互換性も確認します。
PHP：脆弱性情報PHP 本体GHSA-ch8v-r6jh-4vvr重要度：低悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:02 JST
どんな危険？
未初期化メモリが使用されるため、エンコード結果が予測できず、意図しない文字列がそのまま通過したりエンコードされたりする可能性があります。
自分は対象？
PHP 8.2 系の ext-filter が 8.2.34 未満のバージョンで影響を受けます。
PHP 8.3 系の ext-filter が 8.3.35 未満のバージョンで影響を受けます。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系 / ext-filter：<8.2.34（修正版 8.2.34 に対応する系列。旧系列の影響は原文確認）PHP 8.3系 / ext-filter：<8.3.35（修正版 8.3.35 に対応する系列。旧系列の影響は原文確認）PHP 8.4系 / ext-filter：<8.4.25（修正版 8.4.25 に対応する系列。旧系列の影響は原文確認）PHP 8.5系 / ext-filter：<8.5.10（修正版 8.5.10 に対応する系列。旧系列の影響は原文確認）
- 修正版
- 8.2.348.3.358.4.258.5.10
記号の読み方：< は未満、<= は以下、>= は以上、> は超える。
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
PHP：脆弱性情報PHP 本体CVE-2026-91768重要度：中悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:02 JST
どんな危険？
このバイパスにより、FastCGI エンドポイントに到達した攻撃者は多くの環境で PHP スクリプトを FPM ワーカーコンテキストで実行できる可能性があります。
自分は対象？
IPv6 TCP 上で FastCGI を使用し、listen.allowed_clients をセキュリティ境界として設定しているデプロイメントが対象です。
攻撃者はネットワーク上で到達可能で、許可されたクライアントと先頭 96 ビットが同じ IPv6 アドレスを送信できる必要があります。
ほか2項目は詳細ページへ
- 対象の版
- PHP：8.2系の8.2.34未満PHP：8.3系の8.3.35未満PHP：8.4系の8.4.26未満PHP：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
PHP：脆弱性情報PHP 本体CVE-2026-91769重要度：中悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:02 JST
どんな危険？
クライアントが信頼した証明書を用いて、別のホスト名になりすますことができ、プライベート PKI や内部 CA などで攻撃者が CN を自由に設定できる環境で特に危険です。
自分は対象？
公式の対象表：PHP Group / PHP。影響ありとして記載：8.2系のうち、8.2.34未満。影響ありとして記載：8.3系のうち、8.3.35未満。影響ありとして記載：8.4系のうち、8.4.26未満。影響ありとして記載：8.5系のうち、8.5.11未満。
- 対象の版
- PHP：8.2系の8.2.34未満PHP：8.3系の8.3.35未満PHP：8.4系の8.4.26未満PHP：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
PHP：外部サイトの細工した証明書で処理が止まるおそれPHP 本体CVE-2026-91767重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
細工したワイルドカード名を持つ証明書によりPHP処理がクラッシュし、サービス停止につながるおそれがあります。公式説明では、読み出した内部メモリーの内容が攻撃者へ返されるわけではありません。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
HTTPS/TLSのfile_get_contents()、fopen()、stream_socket_client()などで既定の接続先名検証を使う場合です。攻撃者は接続先サーバーを支配するなどして、問題の証明書を提示できる必要があります。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
PHPを修正版へ更新します。接続先の証明書を検証する機能を切って問題を避ける対応はせず、外部接続の実装も確認します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：不正なMySQLサーバーからの応答でサイト処理が停止するおそれPHP 本体CVE-2025-1218重要度：低悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
攻撃者が管理・侵害したMySQLサーバーから短すぎる応答が返ると、PHP処理がクラッシュして利用できなくなるおそれがあります。公式説明では、読み出したメモリーの内容は相手サーバーへ返りません。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
mysqlndを使うアプリが、信頼できない、または侵害されたMySQLサーバーへ接続することが条件です。信頼できるデータベースだけに接続するアプリは、この攻撃経路にさらされないと開発元は説明しています。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
PHPを修正版へ更新し、接続先DBとその管理者を把握します。DB側への侵入が疑われる場合は、その調査と認証情報の見直しも管理者へ依頼します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：外部URLの転送先へ認証情報を送ってしまうおそれPHP 本体CVE-2026-91766重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
APIの認証トークン、セッションCookie、プロキシ認証情報が別の接続先へ漏れるおそれがあります。HTTPSからHTTPへの転送では、通信途中にも平文で露出します。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
file_get_contents()、fopen()等のHTTPストリームへAuthorization、Cookie、Proxy-Authorizationヘッダーを指定し、follow_locationが有効な場合です。相手側が別ホスト・別ポート・HTTPへ転送すると問題になります。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
PHPを修正版へ更新します。過去に認証付き通信が外部の転送先へ送られた可能性があれば、その宛先と期間を調べ、漏れた可能性があるトークンやCookieを発行元で失効・再発行します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：SOAP連携の受付口へ1回の通信で処理停止を起こされるおそれPHP 本体CVE-2026-91765重要度：高悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
深く入れ子になったXMLを送られるとPHP処理が止まります。繰り返されると対応できる処理プロセスが足りなくなり、連携機能が利用できなくなるおそれがあります。コード実行が実証された問題ではありません。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
SoapServerの通信受付口へ、認証なしで細工したXMLを送れる場合に攻撃が成立します。PHP-FPMでは当該ワーカーが停止し、繰り返しの攻撃でワーカープールが使い果たされます。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
PHPを修正版へ更新し、SOAP連携が本当に必要な相手だけから届く構成にできるか確認します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：SOAP連携先から極端に大きな応答を受けるとメモリーが壊れるおそれPHP 本体CVE-2025-14181重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
悪意あるSOAPサーバー、または暗号化されていない通信を改変できる第三者により、PHPのクラッシュやメモリー破壊が起こるおそれがあります。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
SoapClientが数GB規模の応答を受け取り、PHPを作成したコンパイラーが特定の整数検査を最適化で除くビルドの場合に発生します。単にSOAP拡張が有効というだけでは全条件を満たしません。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
PHPを修正版へ更新します。連携先を管理下のサーバーに限定できるか、業務上必要な最大応答サイズを決められるかも確認します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：圧縮ファイルの確認時と展開時で中身をすり替えられるおそれPHP 本体CVE-2026-6103重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
検査したと思ったものと違うファイルを展開先へ書き込まれるおそれがあります。公式説明では、細工したパッケージからvendor/へ別のファイルを入れられる例が示されています。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
信頼できないTARアーカイブをPharDataまたはphar://で解析することが条件です。サイズ欄の不正な値により、ファイル内容の一部が別のファイル見出しとして扱われます。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
Webサイト用と、Composer・バッチ作業用のPHPをそれぞれ更新します。外部から受け取ったアーカイブを展開する機能の保存先と権限も確認します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るWindows版PHP：特殊なファイル名で処理が止まるおそれPHP 本体CVE-2026-17545重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
通常ファイルのつもりでWindowsの特殊な装置名を開いてしまい、処理が待ち続けたり異常な読み書きになったりするおそれがあります。繰り返されるとサイトの処理が埋まって利用できなくなります。
自分は対象？
修正前の対象系列は、8.2系の8.2.34未満、8.3系の8.3.35未満、8.4系の8.4.26未満、8.5系の8.5.11未満です。系列を取り違えず、下の利用条件と合わせて確認します。
Windows上で、外部入力からファイルパスを作ってファイル・ストリーム操作する場合です。CONやNULなどの予約名は、拡張子付きでも通常ファイルとは限りません。Linux構成はこのWindows固有の問題の対象ではありません。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.34未満PHP 8.3系：8.3系の8.3.35未満PHP 8.4系：8.4系の8.4.26未満PHP 8.5系：8.5系の8.5.11未満
- 修正版
- 8.2.348.3.358.4.268.5.11
どうすればいい？
この問題の修正が入った版は 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
Windows版PHPを修正版へ更新します。開発担当者は、利用者が送った名前をそのままサーバー上の保存名にしない設計も検討します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：細工したアーカイブ内のリンクで処理が停止するおそれPHP 本体CVE-2026-7260重要度：中悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
参照先が循環したリンクを際限なく追い、PHPの処理プロセスがクラッシュするおそれがあります。繰り返し処理させられるとサービス停止につながります。
自分は対象？
修正前の対象系列は、8.2系の8.2.33未満、8.3系の8.3.33未満、8.4系の8.4.24未満、8.5系の8.5.9未満です。系列を取り違えず、下の利用条件と合わせて確認します。
ext-pharで、循環するシンボリックリンクを含むTAR形式のpharアーカイブを処理する場合です。攻撃者がそのアーカイブをアプリに扱わせる必要があります。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系：8.2系の8.2.33未満PHP 8.3系：8.3系の8.3.33未満PHP 8.4系：8.4系の8.4.24未満PHP 8.5系：8.5系の8.5.9未満
- 修正版
- 8.2.338.3.338.4.248.5.9
どうすればいい？
この問題の修正が入った版は 8.2.33 / 8.3.33 / 8.4.24 / 8.5.9 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
該当するWeb処理・バッチ処理で使うPHPを修正版へ更新します。外部アーカイブを扱う入口を一覧にして、更新漏れを確認します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：数値比較に外部入力を渡すとメモリーを壊されるおそれPHP 本体CVE-2026-17544重要度：高悪用状況：未確認修正版情報あり
公式情報を個別に照合した日本語解説・確認日 2026/10/23
どんな危険？
比較する数値と小数点以下の桁数の組み合わせにより、確保した範囲外へ書き込み、PHPのメモリーを壊すおそれがあります。実際の影響はアプリとメモリー配置に依存します。
自分は対象？
修正前の対象系列は、8.4系の8.4.24未満、8.5系の8.5.9未満です。系列を取り違えず、下の利用条件と合わせて確認します。
攻撃者が与えた入力をbccomp()で処理し、指定桁数で切り詰めた後に末尾のゼロを除く経路が対象です。開発元がこの告知で修正版を示している系列は8.4と8.5です。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.4系：8.4系の8.4.24未満PHP 8.5系：8.5系の8.5.9未満
- 修正版
- 8.4.248.5.9
どうすればいい？
この問題の修正が入った版は 8.4.24 / 8.5.9 です。サーバー管理者に、使っている系列の修正版、または修正を含む新しい版への更新を依頼してください。
PHP 8.4系は8.4.24、8.5系は8.5.9、または修正を含む後続版へ更新します。入力する数値の長さ・形式・必要な桁数も仕様に合わせて見直します。
ほか1項目は詳細ページへ
対象の調べ方・対策の手順を見るPHP：データベースへの不正操作PHP 本体CVE-2026-17543重要度：高悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:16 JST
どんな危険？
攻撃者は SQL インジェクションによりデータベースのクエリを任意に操作できる可能性がある。
自分は対象？
攻撃者が pg_insert、pg_update、pg_select、pg_delete などの関数にユーザー提供パラメータを渡す場合に成立する。
PostgreSQL の設定で standard_conforming_strings が on（デフォルト）であることが必要である。
ほか2項目は詳細ページへ
- 対象の版
- PHP：8.2系の8.2.33未満PHP：8.3系の8.3.33未満PHP：8.4系の8.4.24未満PHP：8.5系の8.5.9未満
- 修正版
- 8.2.338.3.338.4.248.5.9
どうすればいい？
PHP 8.2.33、8.3.33、8.4.24、8.5.9 にアップデートして修正を適用する。
レンタルサーバーは、サーバー会社に対象サイトのPHP更新を依頼するか、同社の管理画面で修正を含む提供版へ変更します。自分で管理しているサーバーは、管理者がOS・配布元の正規パッケージで更新し、必要なサービスの再起動まで行ってください。系列を変える場合はアプリの互換性も確認します。
PHP：サービス停止PHP 本体CVE-2026-12184重要度：高悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/24 13:16 JST
どんな危険？
リモートからトリガーできるサービス拒否（DoS）により、FPM プロセス全体とそのすべてのワーカーが停止します。
自分は対象？
TLS 暗号化設定が php_stream_xport_crypto_setup または php_stream_xport_crypto_enable で失敗し、ピア名の検証が失敗するか証明書が期限切れの場合に、php_stream_url_wrap_http_ex が使用されている環境で影響を受けます。
- 対象の版
- PHP 8.3系 / php-src：< 8.3.32（修正版 8.3.32 に対応する系列。旧系列の影響は原文確認）PHP 8.4系 / php-src：< 8.4.21（修正版 8.4.21 に対応する系列。旧系列の影響は原文確認）PHP 8.5系 / php-src：< 8.5.6（修正版 8.5.6 に対応する系列。旧系列の影響は原文確認）
- 修正版
- 8.3.328.4.218.5.6
記号の読み方：< は未満、<= は以下、>= は以上、> は超える。
どうすればいい？
提供されているパッチを適用し、php-src をバージョン 8.3.32、8.4.21、または 8.5.6 に更新します。
レンタルサーバーは、サーバー会社に対象サイトのPHP更新を依頼するか、同社の管理画面で修正を含む提供版へ変更します。自分で管理しているサーバーは、管理者がOS・配布元の正規パッケージで更新し、必要なサービスの再起動まで行ってください。系列を変える場合はアプリの互換性も確認します。
PHP：脆弱性情報PHP 本体CVE-2026-14355重要度：中悪用状況：未確認修正版情報あり
保存済みの日本語解説（過去にAIで作成）・作成 2026/10/25 13:21 JST
どんな危険？
メモリが破損し、アプリケーションが強制終了する可能性があります。
自分は対象？
PHP 8.2系 / php-src: バージョン 8.2.32 未満が影響を受けます。
PHP 8.3系 / php-src: バージョン 8.3.32 未満が影響を受けます。
ほか2項目は詳細ページへ
- 対象の版
- PHP 8.2系 / php-src：< 8.2.32（修正版 8.2.32 に対応する系列。旧系列の影響は原文確認）PHP 8.3系 / php-src：< 8.3.32（修正版 8.3.32 に対応する系列。旧系列の影響は原文確認）PHP 8.4系 / php-src：< 8.4.23（修正版 8.4.23 に対応する系列。旧系列の影響は原文確認）PHP 8.5系 / php-src：< 8.5.8（修正版 8.5.8 に対応する系列。旧系列の影響は原文確認）
- 修正版
- 8.2.328.3.328.4.238.5.8
記号の読み方：< は未満、<= は以下、>= は以上、> は超える。
どうすればいい？
PHP を 8.2.32、8.3.32、8.4.23、または 8.5.8 以降のバージョンにアップデートしてください。
レンタルサーバーは、サーバー会社に対象サイトのPHP更新を依頼するか、同社の管理画面で修正を含む提供版へ変更します。自分で管理しているサーバーは、管理者がOS・配布元の正規パッケージで更新し、必要なサービスの再起動まで行ってください。系列を変える場合はアプリの互換性も確認します。
取得対象に限りがあり、掲載がない場合も安全とは限りません。原文の更新日時と取得日時をご確認ください。