よくある質問
影響を受ける PHP バージョンは？
サポート対象ブランチでは、8.5.12、8.4.27、8.3.36、8.2.35 より前のすべてのバージョンです。PHP 8.1 以前はサポートが終了しており、PHP プロジェクトからのリリースはありません。ベンダーがバックポートされた修正を確認しない限り、影響を受けるものとして扱ってください。
サイトに PHP バージョンが表示されません。安全ですか？
必ずしもそうではありません。バージョンを隠すこと（expose_php = Off）は良い習慣ですが、何かを修正するわけではありません。サーバー上で php -v を実行するか、プロバイダーにお問い合わせください。
チェッカーには古いバージョンが表示されますが、ホスティング会社は修正済みだと言います。どちらが正しいのですか？
どちらも正しい可能性があります。Debian、Ubuntu、RHEL などの Linux ディストリビューションは、バージョン番号を変えずにセキュリティ修正をバックポートすることがよくあります。どのパッケージビルドがインストールされているか、その変更履歴に CVE-2026-109618 と CVE-2026-109619 が記載されているかをホスティング会社にお問い合わせください。
WordPress、Laravel や使用中の CMS は影響を受けますか？
脆弱性は PHP 本体にあるため、影響を受ける PHP 上で動くすべてのアプリケーションが危険にさらされます。研究者は WordPress、Drupal、Joomla に対する認証不要の攻撃を実証しましたが、それらは例にすぎません。単純な「Hello World」ページでも十分です。WordPress やプラグインを更新するだけでは解決しません。PHP を更新する必要があります。
コードが実行されなくてもデータは漏えいしますか？
はい。CVE-2026-109619 は、攻撃者がコードを実行しなくても、PHP プロセスのメモリ、つまり他のリクエストのパスワード、セッショントークン、API キー、証明書を漏えいさせる可能性があります。このような漏えいはファイルを残さず検出が難しいため、影響を受けるバージョンでインターネット上に公開されていたサイトの秘密情報は変更してください。
session.upload_progress を無効にすれば解決しますか？
いいえ。php.net は session.upload_progress.enabled=0 を、CVE-2026-109619 の確認済みの一部の経路に対する部分的な緩和策として挙げています。すべての亜種をカバーするわけではなく、CVE-2026-109618 には効果がありません。
ウェブアプリケーションファイアウォールで十分ですか？
WAF やリクエスト制限は、更新するまでの間の露出を減らせますが、問題は PHP がリクエストとメモリを扱う方法にあります。更新は引き続き必要です。
更新後に何かを再起動する必要がありますか？
はい。PHP-FPM、Apache、LiteSpeed、常駐ワーカーは、再起動されるまで古いコードを実行し続けます。コンテナは新しいイメージから作り直す必要があります。
このチェッカーは実際に何をしているのですか？
入力されたアドレスに HEAD リクエストを 1 回（HEAD が許可されていない場合は GET）送信し、最大 3 回までリダイレクトをたどり、X-Powered-By や Server などのレスポンスヘッダーを読み取ります。攻撃用のペイロード、大きなリクエスト、アップロードは一切送信せず、他のパスもスキャンしません。
どのウェブサイトでも確認してよいのですか？
ご自身が所有する、または評価を許可されたサイトのみを確認してください。リクエストは通常の閲覧と同じですが、責任ある利用はご自身の責任です。当方ではネットワークごと、サイトごとにチェック回数を制限しています。
PHP 8.5.12 で完全に修正されたのですか？
2026 年 10 月 22 日に 8.5.12 でのクラッシュに関する報告が出回りましたが、リモートから悪用できる脆弱性としては確認されていません。当サイトは php.net の情報に従っています。新しいリリースが出た場合はこのサイトを更新し、「最終確認日」が変わります。
公式の詳細はどこで読めますか？
php.net、および PHP プロジェクトの GitHub アドバイザリ GHSA-w8hw-w9fx-j79w と GHSA-6wmf-4rv5-p3rp でご覧いただけます。研究チーム（Wiz Research、OpenAI Codex Security、Calif）は調査結果を php2shell.com で公開しています。
脆弱性を発見したのは誰ですか？
Wiz Research、OpenAI Codex Security、Calif の研究者が、修正を準備した PHP セキュリティチームとの協調的開示を通じて発見しました。リリースについては The PHP Foundation の記事をご覧ください。