【重要】PHPの深刻な脆弱性について（対応のお願い）
2026年10月21日、PHP において、外部から不正なコードを実行されるおそれがある 2件の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）が公表されました。
今回の脆弱性は a-blog cms 本体の問題ではなく、動作環境である PHP の問題です。 a-blog cms をご利用の Webサイトでも、PHP の環境によっては対応が必要になります。
共有サーバーをご利用の場合は、まずサーバー会社の情報をご確認ください
レンタルサーバー（共有サーバー）では、サーバー会社が PHP の更新や脆弱性修正を実施する場合があります。利用者側で PHP本体を更新したり、サーバー全体の設定を変更したりできないこともあります。
まずは、ご利用中のサーバー会社の「お知らせ」「障害・メンテナンス情報」「セキュリティ情報」などをご確認ください。
案内がない場合は、今回の脆弱性への対応状況や、古い PHPバージョンへの修正パッチの提供予定について、サーバー会社にお問い合わせください。
サーバー会社側ですでに修正対応が完了している場合、利用者側で追加の対応が不要なこともあります。 一方、PHPバージョンの切り替えが必要になる場合は、事前に Webサイトの動作確認やバックアップをおすすめします。
対応について
PHP 公式から、以下の修正版が公開されています。
PHP系列 | 修正版 |
|---|---|
PHP 8.5 | 8.5.12 |
PHP 8.4 | 8.4.27 |
PHP 8.3 | 8.3.36 |
PHP 8.2 | 8.2.35 |
ご利用中の PHP のバージョンと、サーバー提供元の対応状況をご確認のうえ、修正済み環境への更新をお願いいたします。
古いPHPバージョンへの対応（バックポート）
PHP 7.4・8.0・8.1 は公式サポートが終了していますが、今回の脆弱性については、PHP開発チームから例外的に修正用のソースコードが提供されています。
また、Ubuntu などの OS ベンダーやサーバー事業者が、古い PHP のバージョンを維持したまま脆弱性の修正を取り込む「バックポート」を実施する場合もあります。
そのため、PHP のバージョン番号が古いからといって、必ずしも未対策とは限りません。
ただし、すべての環境で修正パッチが提供されるわけではありません。 XServer などのレンタルサーバーをご利用の場合は、サーバー事業者の対応状況をご確認ください。
なお、PHP 7.4・8.0・8.1 は通常のセキュリティサポートが終了しているため、将来的にはサポート対象のPHPへの移行を推奨します。
すぐに更新できない場合の暫定対策
PHP 公式では、修正版をすぐに適用できない場合の暫定的なリスク軽減策として、以下の設定を案内しています。
1. セッションのアップロード進捗機能を無効にする
PHP の設定ファイル（php.ini）に以下を設定します。
session.upload_progress.enabled = 0この設定により、今回の脆弱性の一部の攻撃経路を抑制できます。一般的なファイルアップロード機能そのものを無効にする設定ではありません。
設定後は PHP-FPM などのワーカープロセスを再起動してください。
注意： この設定だけでは、今回の2件の脆弱性を完全に防ぐことはできません。また、ini_set()やPHP-FPM環境での.user.iniによる設定は、今回の対策として信頼できません。サーバー全体のphp.iniなど、リクエスト処理前に適用される設定を利用してください。
2. POST データのサイズを制限する
PHP の設定ファイル（php.ini）で、POST データの最大サイズを必要最小限に設定します。
post_max_size = 8Mファイルアップロードが必要な場合は、サイトの要件に応じて、例えば以下のように設定します。
post_max_size = 32M
upload_max_filesize = 16M大量のデータを利用した攻撃のリスクを軽減することが目的です。
注意： 設定値を小さくすると、大きな画像やファイルのアップロード、フォーム送信などに影響する可能性があります。サイトの利用状況に応じて調整してください。
3. PHPのメモリ制限を変更する（サーバー管理者向け）
今回の脆弱性の一つについて、PHP 公式では次の設定も暫定対策として案内しています。
memory_limit = -1PHP 内部のメモリ上限によるエラー処理を回避する目的ですが、PHP のメモリ使用量が無制限となるため、サーバー全体のメモリ不足を招く可能性があります。
注意： この設定を行う場合は、OS やコンテナ側で適切なメモリ制限・監視を実施する必要があります。一般のレンタルサーバー利用者が安易に変更することは推奨しません。
暫定対策に関する注意事項
これらの設定は、脆弱性を完全に解消するものではありません。 また、設定の適用方法はサーバー環境によって異なり、Webサイトの動作に影響する場合があります。
設定変更はサーバー管理者や保守担当者と相談のうえ実施してください。 根本的な対策は、修正済み PHP への更新、または修正パッチの適用です。
