【2026年10月】PHPに重大な脆弱性｜不動産会社のサイトで確かめること

ウェブサイトの開発に広く使われるプログラム言語PHPについて、開発元のThe PHP Groupは2026年10月21日、認証なしで外部から任意のコードを実行されるおそれがある脆弱性2件（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。JPCERT/CCは10月22日に注意喚起を出し（JPCERT-AT-2026-0033）、日本賃貸住宅管理協会も同じ日に自らのサーバーの対応と一部機能の停止を公表しています。本稿は公表資料に書かれている内容を整理し、自社サイトや問い合わせフォームを持つ不動産会社・賃貸管理会社が確かめることをまとめます。

発表の中身｜PHPの脆弱性2件と修正版

The PHP Groupが2026年10月21日に公開したセキュリティリリースの要点は次のとおりです（PHP公式のお知らせ）。

• 脆弱性は2件で、どちらも深刻度の指標（CVSS v4.0）は9.2、認証を必要としないリモートコード実行とされています。CVE-2026-109618はメモリ不足の処理に起因するもの、CVE-2026-109619はリクエストの内部状態が解放後も残ることに起因するものです。
• 修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。
• 影響を受ける動かし方として、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、ウェブのリクエストを処理する環境全般が挙げられています。このうちmod_phpのリスクが最も高いとしています。
• PHP 8.1以前はPHPプロジェクトからの修正版は出ません。7.4・8.0・8.1向けには最小限の修正をソースコードの形で提供するとしていますが、基本はサポート中のバージョンへの移行です。
• すぐに更新できない場合の緩和策（設定の変更）も示されていますが、公式のお知らせは、緩和策はリスクを下げるだけで安全にはならず、完全な対策は更新だと明記しています。

情報処理推進機構（IPA）は修正版の公開前の10月21日に、PHPを使うウェブサイトの運営者などに向けて事前準備を呼びかけました（IPA「PHPのセキュリティリリース公開予定について」）。この中でIPAは、使っているプログラムや製品のうちPHPを使うものを洗い出すこと、サポートが終わった古いPHPを使い続けている例が見られることへの注意を求めています。PHPを内部で使う製品やネットワーク機器は利用者から分かりにくいため、製品の提供元の情報を確かめるよう求めている点も重要です。

JPCERT/CCの注意喚起は、対象のPHPが国内で広く使われていることを確認しているとしたうえで、修正版への更新と、侵害の痕跡の確認を求めています。痕跡の確認項目として、異常に長いなど不自然なセッションCookie（PHPSESSID）、不審なファイル送信形式（multipart/form-data）のリクエストと前後のメモリ上限エラーやHTTP 500エラー、PHPの処理プロセスの異常終了や頻繁な再起動、不審なプロセス・外部通信・ファイルの作成を挙げています。痕跡が見つからなくても攻撃を受けていないとは断定できないとも書いています。

日付と対象バージョンの一覧

サポートの終了日はPHP公式のサポート期間の表によります。Linuxの配布元やサーバー会社が独自に修正を取り込んでいる場合もあるため、版の番号だけでは判断せず、提供元の発表もあわせて確かめます。

業界団体の対応｜日管協・全日

日本賃貸住宅管理協会は10月22日、協会のホームページと申込フォームを運用するサーバーについて、公表された修正版への更新を同日に完了したと公表しました（日管協のお知らせ）。予防的な措置として会員情報変更ページとメルマガの登録・削除フォームを当面停止し、現時点で不正アクセスや情報漏えいは確認されていないとしています。会員情報の変更は、お問合せフォームか書面で受け付けると案内しています。

全日本不動産協会も同じ10月22日、「PHP問題に起因する各サービス緊急メンテナンスについて」との題でお知らせを掲載し、同日午後に一部を再開したとしています（全日のお知らせ一覧）。本文は会員向けのページにあるため、本稿では題に書かれている範囲だけを紹介します。

賃貸管理の実務で何をするか

不動産会社のウェブサイト、物件検索、来店予約や入居申込のフォーム、オーナー向けのページなどには、PHPで動くものが少なくありません。WordPressのようなPHPで動くCMSで作られたサイトも対象になりえます。社内にサーバーの担当者がいない会社でも、次の5点は確かめられます。

1. PHPを使っているものを書き出す。自社サイト、物件検索、問い合わせ・申込フォーム、会員ページ、社内で使うウェブの仕組みを一覧にし、どれがPHPで動いているか、誰が保守しているかを書きます。IPAが求めている「棚卸し」はこの作業です。
2. 保守の委託先とサーバー会社に、版と更新日を確かめる。制作会社や保守会社、レンタルサーバー会社に、使っているPHPの系列と版、修正版（上の表）への更新日、すぐ更新できない場合の緩和策の有無を、メールなど記録が残る形で問い合わせます。クラウドのサービスを使っている場合は、提供元の発表を確かめます。
3. 古い版なら移行の日程を決める。PHP 8.1以前で動いている場合、PHPプロジェクトからの修正版はありません。PHP 8.2系も2026年12月31日でセキュリティサポートが終わる予定です。サイトの改修が必要になることがあるため、費用と日程を委託先と決めます。
4. 侵害の痕跡を見てもらう。JPCERT/CCが挙げた確認項目（不自然なセッションCookie、不審なリクエストと前後のエラー、処理プロセスの異常終了、不審なファイルや外部通信）に沿って、委託先にログを確かめてもらいます。疑いがあれば、JPCERT/CCは、ログなどの証拠を残したうえで影響範囲を調べ、システムを切り離すよう求めています。
5. 漏えいのおそれが出たときの手順を確かめる。フォームには入居希望者やオーナーの氏名・連絡先などが入ります。個人情報保護委員会は、不正アクセスなど不正の目的で行われたおそれがある漏えい等（おそれを含む）は人数にかかわらず報告の対象とし、速報は発覚から3〜5日以内、確報は60日以内としています（個人情報保護委員会「漏えい等の対応とお役立ち資料」）。誰が判断し、誰が報告するかを先に決めておきます。漏えい対策の全体は「個人情報保護委員会の漏えい対策の注意喚起｜賃貸管理で見直す点」でも整理しています。

よくある質問

Q1. 自社サイトがPHPで動いているか分かりません。

サイトを作った制作会社や保守会社、契約しているレンタルサーバー会社に問い合わせるのが確実です。IPAは、製品の内部でPHPが使われている場合は利用者から分かりにくいとして、提供元のセキュリティ情報を確かめるよう求めています。

Q2. 実際に攻撃された例はありますか。

IPAは10月21日の事前のお知らせの時点で、悪用された攻撃は確認していないとしています。一方で修正版の公開後は極めて短い時間で攻撃されるおそれがあるとして、速やかに更新できる体制を求めています。その後の状況は、JPCERT/CCやIPAの最新の発表で確かめてください。

Q3. 設定を変える緩和策だけで足りますか。

足りません。PHP公式のお知らせは、緩和策はリスクを下げるだけで安全にはならず、完全な対策は修正版への更新だとしています。緩和策は、更新までのつなぎとして委託先と相談して使います。

Q4. 宅建業法や賃貸住宅管理業法で、何か新しく求められていますか。

今回の公表は、宅建業法や賃貸住宅管理業法にもとづく新しい義務ではありません。個人データの漏えい等が起きた、またはそのおそれがある場合は、従来どおり個人情報保護法にもとづく報告と本人への通知の決まりに沿って対応します。

要点は三つです。PHPに認証なしでコードを実行されるおそれがある脆弱性2件が公表され、10月21日に修正版（8.5.12／8.4.27／8.3.36／8.2.35）が出たこと。日管協と全日もサーバーの対応やサービスの一時停止を公表したこと。不動産会社がまずするのは、PHPを使うものの洗い出しと、委託先への版・更新日の確認であることです。

この記事は 2026-10-24 時点の情報です。PHP公式は10月23日にも関連する追加のお知らせを出しており、内容は今後も更新される可能性があります。

出典（本文で参照している資料）

本稿の内容は、2026年10月24日に開いて読んだ次の資料にもとづきます。