PHPのセキュリティチームが、重大な脆弱性2件を修正するセキュリティリリースを事前に告知しました。リリースは2026年10月21日（水）14:00 UTC、日本時間では同日23:00の予定で、2件とも、深刻度はCVSS v4.0で9.2と公表されています。PHPを自分で運用している方は、今のうちに自分のPHPの版と更新の手順を確認してください。
先に、この記事の範囲を分けます。これはリリース前の予告です。公式の告知は、「詳細、影響を受ける版、修正版は、リリースと同時に公表する」と書いています。つまり、この時点では、CVE番号も、対象の版も、修正版の番号も、公表されていません。この記事は、それらを推測して書きません。リリースが出たあとは、下の「根拠にしたページ」の公式の告知で確認してください。
公式が書いていること（2026年10月20日の告知）
- ▸予告の日時：告知は2026年10月20日 20:32 UTC（日本時間では21日 5:32）に、php.netのトップページに掲載されました
- ▸リリースの予定：2026年10月21日（水）14:00 UTC（日本時間 23:00）
- ▸内容：重大な脆弱性2件を修正する。2件とも、CVSS v4.0 9.2
- ▸呼びかけ：「すべてのPHP利用者は、リリースが出たらすぐに更新できるよう、今から準備してください」
- ▸早まる可能性：公式は、どちらかの脆弱性の詳細が公になった場合や、実際の攻撃が確認された場合には、予定より早くリリースする権利を留保する、と書いています
- ▸詳細の公表：詳細、影響を受ける版、修正版は、リリースと同時に公表される
今のうちにやること
- ✓★自分のPHPの版を確認する。サーバーに入れる場合は、コマンドラインで `php -v` を実行します。Webサーバーが使うPHPは、コマンドラインのPHPと別の版のことがあるため、管理画面やphpinfo()でも確認してください（当サイトの補足）。レンタルサーバーなら、事業者の管理画面で選んでいる版を見ます
- ✓その版が、サポート中の枝かを見る。php.netの「Supported Versions」（2026年10月21日に確認）には、8.2、8.3、8.4、8.5が載っています。セキュリティ修正の期限は、8.2が2026年12月31日、8.3が2027年12月31日、8.4が2028年12月31日、8.5が2029年12月31日です。8.1以前は、この表に載っていません
- ✓今の最新版を把握する。2026年9月24日のセキュリティリリースで、8.2.34、8.3.35、8.4.26、8.5.11が出ています（php.net）。次の版の番号は、公表されていません。予想で番号を決めないでください
- ✓誰が更新するかを決める。自分でサーバーを管理している／ホスティング会社が更新する／OSのパッケージで入れている／Dockerの公式イメージを使っている／WordPressなどを載せている、のどれかで、更新の手段が違います（当サイトの補足）
- ✓ホスティングやマネージドサービスを使っているなら、事業者の案内を確認する。自分で更新できない場合は、事業者が対応するのを待つことになります。いつ対応するかは、事業者の案内で確認してください（当サイトの補足）
- ✓更新の準備をしておく。バックアップ、テスト用の環境、更新後に動作を確かめる項目、作業できる時間（日本時間の21日23時以降）を決めておきます（当サイトの補足）
- ✓PHP 8.6.0のRC版は、本番で使わない。公式のトップページは、RC3について「本番では使わないでください」と書いています
- ✓更新するものは、公式の配布元から取る。php.netの配布ページ、OSの公式のリポジトリ、公式のDockerイメージなどです。リリース前後に出回る「修正版」「検証コード」と称するファイルやメールには、近づかないようにしてください（当サイトの補足）
リリースが出たら確認すること
- ▸公式の告知で、自分の版が対象かを確認する。php.netのトップページの告知、ChangeLog、GitHubの php/php-src のセキュリティアドバイザリに、CVE番号、対象の版、修正版が載ります（公式の予告）
- ▸修正版へ更新する。自分の枝（8.2／8.3／8.4／8.5）の、公式が示す版へ上げます
- ▸回避策があるかを見る。更新がすぐにできない場合に備えて、公式が示す回避策があるかを、公式の告知で確認してください。この記事には、回避策を書きません（現時点で公表されていないため）
- ▸悪用の有無を確認する。公式は、攻撃の確認があれば予定を早めると書いています。公表された内容に、悪用の記述があれば、更新の優先度を上げてください
確認できなかったこと
- ▸CVE番号。2件のCVE番号は、2026年10月21日 09:18 UTC（日本時間 18:18）の時点で公表されていません。GitHubの php/php-src の公開済みアドバイザリには、この2件に該当するものは見当たりませんでした（最新の公開は9月24日分）
- ▸脆弱性の中身（種類、どの機能に関わるか）。公式の告知は、深刻度の数字（CVSS v4.0 9.2）しか書いていません
- ▸影響を受ける版と修正版。リリースと同時に公表されます。8.2〜8.5のすべてが対象か、一部かは分かりません
- ▸8.1以前の扱い。サポート期間の表に載っていないため、修正版が出るかどうかは、公式の告知で確認する必要があります
- ▸攻撃に使われているかどうか。公式は、実際の攻撃が確認された場合は早めると書いていますが、現時点で攻撃が確認されたという記述はありません
- ▸リリースの実際の時刻。予定は日本時間の21日23時ですが、公式は早める可能性を留保しています。この記事を読む時点で、すでに出ているかもしれません。php.netのトップページを確認してください
共有するならこの3行
- ▸PHPが、重大な脆弱性2件（CVSS v4.0 9.2）を直すセキュリティリリースを、日本時間10月21日23時に出す予定（早まる可能性あり）。詳細と修正版は、リリースと同時に公表される（php.net）
- ▸★今のうちに、自分のPHPの版（php -v、管理画面）と、サポート中の枝（8.2〜8.5）かを確認し、更新の担当・手順・バックアップを決めておく。
- ▸リリースが出たら、php.netの告知とGitHubのアドバイザリで、自分の版が対象かを確かめ、公式の配布元から更新する。出回る「修正版」「検証コード」には近づかない