約 5 分で読めます

PHP の緊急セキュリティ更新と、WordPress から EmDash への移行

PHP の開発チームが 10 月 21 日、ログインなしで外部からプログラムを実行される脆弱性 2 件を修正した PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。WordPress を使っている人がいまやることと、PHP を使わない CMS の EmDash について説明します。

2026 年 10 月 21 日 23 時 10 分（日本時間）に、PHP の公式の発表をもとに更新しました。

公式に発表されたこと

PHP の開発チームは 10 月 21 日、2 件の脆弱性を修正した PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。どちらの脆弱性も、ログインしていない人が外部からプログラムを実行できる（認証不要のリモートコード実行）もので、開発チームはすべての利用者に、すぐ更新するよう強く呼びかけています。

CVE 番号

内容

CVE-2026-109618

メモリー不足の処理で、途中までしか用意できていない内部のデータを、正しいデータとして扱ってしまう

CVE-2026-109619

使い終わったはずの内部の状態が残り、同じプロセスが次に処理するリクエストで使われてしまう

対象は Web のリクエストを処理しているすべての PHP です。PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed が挙げられています。開発チームは mod_php をもっとも危険としていて、ログインしていない人のリクエストによって、アプリケーションのコードが動く前に攻撃できることが確かめられています。

WordPress を使っている人がいまやること

WordPress は PHP で動いています。今回の脆弱性は PHP そのものにあり、WordPress のコードが動く前に攻撃できるので、WordPress 本体やプラグインを更新しても直りません。直すには、サーバーの PHP を修正版に更新します。

使っている PHP

更新先

8.5

8.5.12

8.4

8.4.27

8.3

8.3.36

8.2

8.2.35

8.1 以前

PHP の開発チームからは修正版が出ません。サポートされているバージョンに上げてください

  1. 自分のサイトの PHP をだれが更新するのかを確かめます。レンタルサーバーでは、サーバー会社が更新する場合と、利用者が管理画面で PHP のバージョンを切り替える場合があり、会社やプランによって違います。サーバー会社のお知らせを確かめてください。
  2. 自分で管理しているサーバーでは、Linux ディストリビューションの更新パッケージを入れます。開発チームによると、ディストリビューションには修正が前もって渡されています。
  3. 有志が運営している rpms.remirepo.net のパッケージを使っている場合は、この日は更新が出ません。開発チームはディストリビューションのパッケージに切り替えるか、ソースからビルドするようすすめています。

すぐに更新できない場合のために、公式の発表では session.upload_progress.enabled=0 や memory_limit=-1 などの設定で攻撃の経路を減らす方法も示されています。ただし開発チームは、これらで安全になるわけではなく、完全に直すには更新しかないとしています。設定の詳しい条件は公式の発表を確かめてください。

EmDash への移行はいますぐの対策にはなりません。サイトを移すにはデザインの作り直しなどで時間がかかるので、まずは PHP の更新を済ませてください。

PHP を使わない CMS という選択肢

PHP のサイトでは WordPress やプラグインに加えて、PHP そのものも更新し続ける必要があります。今回のように PHP に深刻な脆弱性が見つかると、サイトの持ち主は自分の PHP がいつ、だれによって更新されるのかを確かめ、急いで対応しなければなりません。

EmDash は、Cloudflare が 2026 年 4 月に公開したオープンソースの CMS です。管理画面で記事を書いて公開する使い方は WordPress と同じですが、プログラムは TypeScript で書かれていて、PHP を使いません。そのため、今回の PHP の脆弱性は EmDash には関係しません。

EmDash は Cloudflare Workers の上でも、Node.js が動く自分のサーバーでも動かせます。Cloudflare Workers で動かす場合、プログラムを実行するソフト（ランタイム）は Cloudflare が管理するので、利用者がサーバーのソフトを更新する作業はありません。Node.js のサーバーで動かす場合は、WordPress の PHP と同じように、Node.js を自分で更新します。

ただし、EmDash にも脆弱性がまったくないわけではありません。たとえば 1.3.1（10 月 18 日）では、下書きを読む権限のないユーザー（購読者など）が、API から下書きを読めてしまう問題が修正されました。EmDash を使う場合も、EmDash 自体の更新は続ける必要があります。

WordPress から移るときの注意

EmDash は 2026 年 4 月に公開されたばかりで、WordPress と比べると日本語の情報はまだ少なく、更新も頻繁です。また、PHP を動かさないので、WordPress のテーマやプラグインはそのままでは使えません。

記事や画像は、WordPress から取り込めます。WordPress の［ツール］>［エクスポート］で書き出したファイル（WXR 形式）を EmDash の管理画面で読み込むか、WordPress に EmDash Exporter プラグインを入れてつなぎます。

EmDash がどんな CMS で、WordPress と何が違うのかは、ガイドの「EmDash とは？ WordPress との違い」で説明しています。自分のパソコンで試す手順は、「準備するもの」から順に紹介しています。

参考

更新の履歴

  • 2026 年 10 月 21 日 21 時 10 分: 修正版の公開前の情報で公開
  • 2026 年 10 月 21 日 23 時 10 分: 公開された修正版と、公式の発表の内容に更新

ほかのお知らせ