AI脆弱性チェッカーcve-check.com 無料で診断を依頼する
2026年10月21日(水)23時公開 PHPの重大な脆弱性2件の修正版について

無料会社サイトのURLだけで、
修正版の対象かどうかを
診断します。

WordPressなど、PHPで動くサイトが対象になる可能性があります。URLをお送りいただければ、公開ページから分かる範囲で確認し、結果をメールでお送りします。

費用はかかりません返信は2営業日以内ログイン情報は不要法人のサイト向け

無料診断の申込

AI脆弱性チェッカー|cve-check.com

複数ある場合は、まず代表的な1件をお送りください。

送っていただいた情報は、この診断と返信以外には使いません。

公表元・公開日時
php.net(PHP開発元) 10月21日(水)23時
翌22日(木)にIPAとJPCERT/CCも注意喚起を出しています。
修正版
8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
この番号以上になっていれば修正済みです。
内容と対象
認証なしのリモートコード実行 2件
Webのリクエストを受けるPHP全般(PHP-FPM、Apache+mod_php、php-cgi など)。
公的機関・公式・報道

各機関・各社の発表

それぞれの記事から、文章をそのまま引用しています。カードを押すと元の記事が開きます。

IPA
IPA 情報処理推進機構

PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619:PHP2shell)

情報処理推進機構(IPA)が、注意喚起「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619:PHP2shell)」を掲載しました。

記事を読む →
JPCERT/CC
JPCERT コーディネーションセンター

PHPにおける複数の脆弱性(CVE-2026-109618、CVE-2026-109619)に関する注意喚起

「本脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される可能性があります。」

記事を読む →
php.net
The PHP Group(php.net)

Security advisory: Critical remote code execution vulnerabilities, update now

“PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.”(当社訳: 認証なしのリモートコード実行を可能にし得る2件の重大な脆弱性を修正。すべてのPHP利用者に、直ちに更新することを強く推奨)

記事を読む →
ITmedia NEWS
ITmedia NEWS

PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開 「直ちにアップデートを」

「全てのPHPユーザーは、直ちにアップデートすることを強く推奨する」と公式サイトで案内している。

記事を読む →
INTERNET Watch
INTERNET Watch

多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた?

全てのPHPが影響を受け、認証なしでリモートコード実行が可能になるおそれがある。

記事を読む →
日経クロステック
日経クロステック

PHPの重大な脆弱性で緊急メンテナンス相次ぐ さくらやCygames、pixivなど

PHPの脆弱性を巡っては、さくらインターネットが同月21日に一部サービスの機能を停止。

記事を読む →
診断で確認すること

公開ページから、修正版の対象かどうかを診断します

サーバーに負荷をかける操作や、脆弱性を突くような操作はしません。ブラウザで開くのと同じ方法で読み取ります。

PHPのバージョン表記

サーバーが返す情報からPHPのバージョンを読み取り、修正版の番号と照らし合わせます。

PHPで動いている部分

WordPressか、問い合わせフォームや会員ページがPHPで動いているかを、公開ページから確認します。

結果をメールでお届け

確認できた内容と、必要になりそうな対応をメールで返します。外から判断できない場合は、そのこともお伝えします。

結果のメールに書くこと

  • 確認できた内容(PHPのバージョン、PHPで動いている部分)と、修正版の対象かどうか
  • 対象だった場合に必要になりそうな対応(サーバー管理画面での切り替え、制作会社・サーバー会社への依頼)
  • 対応をご希望の場合だけ、進め方と費用の目安。依頼するかどうかはその時に決めていただければ結構です
ご相談から結果までの流れ

まずは送信だけ。あとは担当者が確認します

  1. 申込

    結果を受け取るメールアドレスと、会社サイトのURLを送ります。入力は2つだけです。

  2. 公開ページを確認

    AI脆弱性チェッカーの担当者が、送っていただいたサイトの公開ページを確認します。

  3. 2営業日以内にメール

    結果をメールでお送りします(送信元は info@taffy-inc.com)。対応が必要な場合だけ、進め方と費用の目安もお伝えします。

安心して送っていただくために

私たちがすることと、しないこと

すること

  • 送っていただいたURLの公開ページをブラウザで開き、サーバーが返す情報(PHPのバージョン表記など)を見ます
  • 分かった範囲の結果を、2営業日以内にメールでお送りします
  • 対応が必要そうな場合は、進め方と費用の目安もあわせてお伝えします(ここまで無料)

しないこと

  • ログインや、パスワード・管理画面の情報をお聞きすること
  • サーバーに負荷をかける操作や、脆弱性を突く操作
  • 入力いただいたメールアドレス・URLを、この確認と返信以外に使うこと
ご自身で確認する方法

サーバーの管理画面で、いまのバージョンが分かります

エックスサーバーなら「PHP Ver.切替」、さくらインターネットなら「PHPのバージョン選択」など、サーバー会社の管理画面に、いま使っているPHPのバージョンが表示されています。右の番号以上になっていれば修正済みです。それより古い番号なら、管理画面で新しい版に切り替えるか、サーバー会社・制作会社に相談してください。

管理画面の場所が分からない、切り替えて問題が出ないか不安、という場合は申込フォームからどうぞ。

PHPのバージョンが表示されている場所
エックスサーバー
サーバーパネル › 「PHP Ver.切替」
さくらインターネット
コントロールパネル › 「PHPのバージョン選択」
その他のサーバー会社
管理画面の「PHP」や「言語設定」のメニュー
修正済みの番号8.5.128.4.278.3.368.2.35

同じ系列(8.2 なら 8.2.35 以上)に切り替えると、サイトへの影響が最も小さくなります。

対象になりやすいサイト

こんなサイトは確認をおすすめします

見た目では分かりません。1つでも当てはまれば、URLを送ってください。

WordPressのサイト

WordPressはPHPで動いています。ホームページがWordPressなら、サーバーで動いているPHPのバージョンが今回の確認の対象です。

フォームやログインのあるサイト

問い合わせフォームの送信先や会員ページが、PHPで動いていることがあります。トップページを見ただけでは分からないので、こうしたページがあれば一緒に確認します。

公開後に更新の連絡がないサイト

サーバーのPHPが更新されているかどうかは、画面を見ても分かりません。制作会社から更新の連絡をもらった覚えがなければ、一度確認してみてください。

レンタルサーバーのサイト

エックスサーバー、さくらインターネット、ロリポップなどでは、使うPHPのバージョンを契約者が管理画面で選びます。サーバー会社が修正版を用意しても、切り替えは契約者側の操作になることがあります。

自社で動かすPHPのシステム

ホームページのほかに、予約や受発注の仕組みをPHPで作って使っている会社も当てはまります。外から見える部分だけの確認になります。URLが複数ある場合は、まず代表的な1件をお送りください。

制作会社に任せているサイト

確認は公開ページを見るだけなので、制作会社の作業に影響はありません。結果のメールをそのまま制作会社に送って、更新をお願いしていただいて構いません。

よくあるご質問

はじめての方もご安心ください

Q本当に無料ですか?

無料です。確認して結果をメールでお返しするところまで、費用はかかりません。その先の更新作業などをご依頼いただく場合だけ、別に見積もりをお出しします。

QURLを送っても大丈夫ですか?何をするのですか?

お送りいただいたURLの公開ページを、ブラウザで開くのと同じ方法で読み取るだけです。ログイン情報や管理画面の情報はお聞きしません。サーバーに負荷をかける操作や、脆弱性を突くような操作もしません。

Q自分のサイトがPHPかどうか分かりません

分からないままで構いません。URLをお送りいただければ、PHPが使われているかどうかも含めて、公開ページから分かる範囲で確認します。外からは判断がつかない場合は、そのこともお伝えします。

Q結果が「対象」だった場合、どうなりますか?

結果のメールに、確認できた内容と、必要になりそうな対応を書いてお送りします。対応をご希望の場合は見積もりをお伝えし、依頼するかはその時に決めていただきます。結果のメールを、制作会社やサーバー会社への相談に使っていただくこともできます。

Q制作会社に任せていますが、相談してもいいですか?

はい、問題ありません。確認は公開ページを読むだけなので、制作会社の作業に影響はありません。結果のメールをそのまま制作会社に送って、更新をお願いしていただいても構いません。

お申し込み

まずは無料診断を
ご活用ください

会社サイトのURLとメールアドレスだけで受け付けます。結果は2営業日以内に info@taffy-inc.com からお送りします。

無料診断の申込

AI脆弱性チェッカー|cve-check.com

複数ある場合は、まず代表的な1件をお送りください。

送っていただいた情報は、この診断と返信以外には使いません。