PHP 公式セキュリティチームより、重大な脆弱性を修正するセキュリティリリースの事前告知がありました。Amimoto Managed Hosting でご利用のサーバも影響を受ける可能性が高いため、取り急ぎご案内と、対応方針のご確認をお願いいたします。
目次
公開予定の概要
公開予定日時：2026年10月21日（水）23:00（日本時間）
内容：重大な脆弱性 2件（いずれも CVSS v4.0 スコア 9.2 / 最高位「Critical」）
影響を受けるバージョン・修正版・詳細：リリースと同時に公開（現時点では非公開）
備考：脆弱性情報の漏洩や実際の攻撃が確認された場合、予定より早く公開される可能性があります。
参考：https://www.php.net/archive/2026.php#2026-10-20-1
懸念される被害について
複数のセキュリティ専門企業が、外部から認証なしでサーバ上の任意のプログラムを実行できる「リモートコード実行（RCE）」の脆弱性であることを確認しています。サーバの乗っ取り、データベース内の個人情報や認証情報の窃取、サイトの改ざん、マルウェア設置・踏み台化、サービス停止といった被害が懸念されます。修正版の公開と同時に脆弱性の詳細も公開されるため、公開から数時間〜数日が最も危険な期間となります。
弊社の対応方針
修正版の公開後、お客様への事前確認を待たず、弊社の判断で速やかに以下を実施いたします。
緩和設定の先行適用（本日中）：複数のセキュリティ専門企業の独自調査により有効とされている設定変更 session.upload_progress.enabled = Off を、修正版の公開を待たずに本日中に適用いたします。この機能はファイルアップロードの進捗表示をセッションに記録するもので、WordPress は使用していないため、サイトの動作に影響はありません。PHP プロセスの再起動時に数秒程度の応答遅延が発生する可能性があります。
修正版 PHP の適用（公開後）：サービス稼働中に実施し、メンテナンス画面への切り替えは行いません。短時間のプロセス再起動により、数秒〜数十秒程度の応答遅延やエラーが発生する可能性があります。
作業前にはサーバのバックアップ（スナップショット）を取得いたします。
ご利用の OS バージョンによる制約について
Amazon Linux 2023 でご利用のお客様は、修正版パッケージの公開後、速やかに適用いたします。
Amazon Linux 2 以前でご利用のお客様は、修正版パッケージが提供されない、または大幅に遅れる可能性がございます。その場合は緩和設定による暫定対応を先行し、恒久対応として OS のバージョンアップを別途ご案内いたします。これまでにもご案内しておりますとおり、サポート終了 OS のご利用には今回のような事態におけるリスクが伴いますので、この機会にバージョンアップのご検討をお願いいたします。
ご希望・ご指定がある場合はお知らせください
上記の基本方針で問題なければ、ご返信は不要です。以下に該当する場合のみ、本日 18:00 までにご連絡ください。
メンテナンス画面の表示をご希望の場合：基本方針ではメンテナンス画面への切り替えは行いませんが、修正版の適用が完了するまでの間、Web サーバを停止してメンテナンス画面を表示することも可能です。表示はサーバ全体での設定となり、簡易的なメンテナンスページの表示を行います。サイト個別に設定されたい場合はお客様にてメンテナンスの実施をお願いします。
作業中の緊急連絡先：info@digitalcube.jp
対応作業後の動作確認のお願い
作業は深夜〜早朝の時間帯になる見込みです。対応完了後、弊社にてサーバの稼働状況およびサイトの基本的な表示確認を行ったうえでご報告いたします。お問い合わせフォーム、会員ログイン、決済など業務上の機能については、お客様にて動作確認をお願いいたします。
期限までにご連絡がない場合は、上記の基本方針で進めさせていただきます。
日本国外 IP からのリクエストを一時的に遮断する暫定対策を実施いたします。
本日ご案内しております PHP の重大な脆弱性につきまして、修正版の公開（本日 23:00）直後から自動化された攻撃が世界的に始まることが予想されるため、
攻撃の大半を占める日本国外 IP からのリクエストを一時的に遮断する暫定対策を実施いたします。サービスのご利用に影響が出る可能性がございますので、内容をご確認ください。
https://ja.amimoto-ami.com/news/temporary-block-foreign-ip-requests/