PHPの重大な脆弱性：WordPress運用者が確認する修正版と追加対策【2026年10月】
この記事の目次 読みたい項目へ移動
最終技術確認：2026年10月30日（JST）。対象はCVE-2026-109618・CVE-2026-109619と、追加問題CVE-2026-115560です。
WordPress本体の更新だけでは、サーバーのPHPの修正は完了しません。まず自分にPHPを変更する権限・手段があるかを確認し、以下の手順で担当者と対応を進めます。
確認先：PHP公式告知・変更履歴。確認済みの範囲を示すもので、各サイトの修正や安全を保証するものではありません。
対象サイト・業務影響・連絡先を整理。作業を依頼し、結果を確認。
PHP上で動くアプリ。本体・テーマ・プラグインの互換性を確認。
PHPの修正・設定・稼働プロセスへの反映を管理担当者が確認。
↓ PHPを変更する権限・手段はありますか？
契約先または保守担当に、対象ドメインを添えて確認。権限の所在も尋ねます。
配布元の修正情報、互換性、バックアップと復元方法、作業範囲を確認して適用。権限だけで即変更しません。
↓ どちらのルートも、ここで合流
対象サイトで使うPHPへの反映と主要機能を確認。被害の有無は別に調べ、未確認項目は担当者と期限を残します。
契約先・管理担当者へ確認する：問い合わせ文を使う
管理画面の「ツール → サイトヘルス → 情報 → サーバー」でPHPの情報を確認し、対象ドメインとあわせて問い合わせます。複数サイトがあればサイトごとに確認してください。サイトヘルスは情報を確認する画面で、PHPの更新は通常ホスティング側で行います。
対象サイト・確認したいCVE・現在分かる情報を送る。
↓ 質問を送る
全社告知だけで終えず、自契約のサーバー・パッケージ・適用日時を照合。アプリ条件が不明なら保守担当へつなぐ。
↓ 回答を自環境と照合
回答に不足があれば再質問。主要機能と被害確認は別の欄で管理する。
そのまま使える問い合わせ文
角括弧の中を置き換えて送ってください。分からない欄は「不明」と書けます。パスワードや管理画面の認証情報は添付しません。
未適用なら対応予定と、それまでの公開範囲を相談します。CISAはインターネット公開環境を優先して更新し、直ちに更新できない場合は修正まで停止することも勧めています。WAFがあるだけで修正済みとは扱えません。CISAの公式案内
回答は「PHPを更新した」という一言で終えず、対象サイト・CVE・反映状況をそろえて読みます。次の表で10月21日の2件を照合し、その後に10月23日の追加問題を確認してください。
10月21日の2件：回答を修正版のパッチ番号と照合する
10月21日の2件は、外部から認証なしにサーバー上のコードを実行されるおそれがあるPHPの重大な脆弱性です。修正版はPHP 8.2.35／8.3.36／8.4.27／8.5.12です。10月23日の追加問題は別に確認します。
出典：PHP公式 10月21日のセキュリティ案内、10月23日の追加告知。
CVE-2026-109618は、メモリ不足の処理で不完全な内部データを後処理が参照する問題です。CVE-2026-109619は、解放済みのデータを、同じPHP処理プロセスが扱う後続リクエストで参照する問題です。どちらもPHP本体の修正が必要です。
| PHP系列 | 影響版（各系列） | 修正が入った版 |
|---|---|---|
| 8.2 | 8.2.35未満 | 8.2.35 |
| 8.3 | 8.3.36未満 | 8.3.36 |
| 8.4 | 8.4.27未満 | 8.4.27 |
| 8.5 | 8.5.12未満 | 8.5.12 |
出典：PHP公式アドバイザリ CVE-2026-109618、CVE-2026-109619。この表は10月23日の追加問題の修正版を示すものではありません。
Apacheのmod_phpでは、WordPressのコードが動く前に影響する経路が確認されています。PHP-FPMも一律に対象外とはいえず、109619では特定のアプリ処理を条件とする経路が検証されています。「ログイン画面を保護している」「FPMを使っている」という理由だけで、修正確認を省けません。
実行方式ごとの条件：109618の公式説明、109619の公式説明。
配布元が古い版へ修正を取り込む「バックポート」では、表示番号だけで判定できない場合があります。ホスティング会社の告知やパッケージの修正情報で、両CVEへの対応を確認してください。Red Hatの公式情報でも、版番号だけを見る検査と実際の修正状況の違いを説明しています。
この表の修正版を確認できても、10月23日に公表された追加問題への対応は別に確認します。次は、版番号だけでは判断できない設定と処理の条件です。
速報と、現在の対応情報を分けて読む
10月21日朝のITmedia NEWSの速報は、修正版公開前の予告を伝えた記事です。その後、修正版の公開と10月23日の追加告知がありました。「影響版は未公表」「修正版の公開待ち」という当時の説明を、現在の状況にそのまま当てはめないようにします。
Windows版を使う場合：PHP公式は10月26日、別のCVE-2026-111497（Brotli）に対応したWindowsパッケージ再ビルドを告知しました。末尾の「-1」は依存ライブラリを更新したパッケージの印で、PHPランタイムの版番号は変わりません。上の表だけで配布パッケージを判定せず、PHP公式のWindows向け告知と提供元の案内を確認してください。
10月23日の追加問題：更新済みでも3つの条件を確認する
session.serialize_handlerがphp_binary または（OR） php_serialize。
かつ（AND） ↓
アプリがsession_start()の前に、ini_set()で保存形式をphpへ切り替える。
かつ（AND） ↓
セッションのアップロード進捗機能が有効。
↓ ①・②・③すべてに該当
管理者へ暫定設定とその反映を確認。条件のどれかが不明なら「非該当」とせず、設定は提供会社、処理はアプリ保守担当へ。
いずれかの条件に該当しないと確認できた場合は、この追加問題の条件には該当しません。ほかの2件への対応や、サイト全体の安全を示す判定ではありません。
2026年10月30日に確認した公式の追加告知では、完全なアドバイザリは次の通常リリースで公表予定とされています。修正版番号と厳密な全影響版は、この告知からは確定できません。PHP公式は次の通常修正リリースまでsession.upload_progress.enabled=0を推奨しています。WordPressの版番号だけでは、導入プラグインなども含む実際の処理が条件に該当するか判断できません。
出典：PHP公式の追加告知。完全なアドバイザリは次のリリースで公表予定です。
この設定はアップロードの進捗追跡に関するものです。通常のファイルアップロード許可とは別ですが、進捗表示を使う機能への影響を確認します。サーバー管理者に適用を依頼し、リクエスト解析前に効く設定とPHP処理プロセスへの反映を確認してください。テーマやwp-config.phpへ追記する方法、FPMの.user.iniだけに頼る方法では、今回必要なタイミングの反映を保証できません。
設定の意味：PHP公式のセッション設定。反映方法は、同じ設定を用いる109619向けのPHP公式の暫定対策を参照しています。10月23日告知も、既にこの設定を適用した場合は維持するよう案内しています。
契約先には、上の条件への該当性と暫定対応の反映状況を確認します。旧系列を使っている場合は、今回の修正だけでなく保守期限もあわせて確認してください。
PHP 7.4・8.0・8.1：今回の修正と今後の移行を確認する
7.4／8.0／8.1
公式サポートは終了。特例の最小限のソース修正が、契約先のPHPへ適用されたか確認し、保守対象系列へ移行します。
8.2／8.3
セキュリティ修正のみ。今回の修正を確認します。8.2は2026年末で保守終了のため、移行も計画します。
8.4／8.5
通常保守中。保守対象でも、今回の修正と追加問題への対応が反映されたか確認します。
旧系列向けのソース修正は、通常保守の再開や契約サーバーへの自動適用を意味しません。
出典：公式のサポート終了一覧、旧系列向け修正の案内、PHP公式の保守期限。
修正や移行を待つ間の公開範囲は、実際の適用状況をもとに管理者と決めます。停止が必要か、どこまで終えれば対応完了かを判断するときは、次の2つの疑問を確認します。
停止や対応完了に迷ったら：2つの疑問を確認する
| 判断 | 先に確認する条件 |
|---|---|
| 停止するか | CISAは、直ちに更新できない場合やサポート終了版を使う場合に、修正・更新までオフラインにするよう勧告しています。修正状況が不明なら、提供元に確認します。 |
| 対応完了か | 10月21日の2件の修正が稼働中のPHPに反映されたかを確認。追加問題の条件・暫定対策、動作確認、過去の被害の確認は分けて扱います。 |
出典と適用条件は、直後の2つの回答を参照してください。
WordPressのサイトは、すべて止める必要がありますか？
CISAの10月21日の案内は、直ちに更新できない組織や、サポート終了版のPHPを使い続ける組織に、修正・更新までPHPシステムをオフラインにするよう勧めています。すでに対象の修正が反映されたサイトまで、一律に停止するという案内ではありません。修正状況が不明なら、提供元に確認し、確認できるまでの公開範囲・停止方法・再開条件を管理者と決めます。
停止を選ぶ場合も、WordPress上でメンテナンス画面を出すだけでPHPへの外部リクエストが遮断されるとは限りません。サイト表示の切替と、サーバー側でのアクセス制限を分けて確認します。緊急の遮断を遅らせず、可能な範囲でログや現状を保全し、更新・復元・再開の手順を用意します。これは運用上の提案です。
サーバー会社がPHPを更新したなら、対応は完了ですか？
109618・109619については、修正が対象サイトの稼働中のPHP処理に反映されたことを確認します。115560の追加条件・暫定対応は別に確認が必要です。「サーバー会社で対応済み」という案内の対象範囲とCVEを確かめ、更新後の動作確認を行います。更新したことだけでは、更新前に被害がなかったとは判断できません。確認先はPHPの追加告知と契約先の対応案内です。
対応を確認したら、次の表に「修正版の適用」「暫定対策」「動作」「被害の有無」を分けて記録します。
更新後は、修正・暫定対策・動作・被害を分けて記録する
対象CVEの修正を適用し、稼働中のPHPへの反映を確認。
一部の攻撃経路を減らす暫定策。鍵そのものの修理完了とは別。
表示・ログイン・フォーム・購入など、必要な機能を点検。
ログ・ファイル・不審な処理を調べる。必要に応じて専門担当へ。
比喩の限界：攻撃経路は一つとは限らず、痕跡が残らない場合や見落とす場合もあります。正常表示は被害なしの証明ではなく、緩和は修正完了ではありません。4項目を確認しても完全な安全を保証しません。
| 確認項目 | 確認する内容 |
|---|---|
| 修正版の適用 | 10月21日の2件：CVE-2026-109618・CVE-2026-109619の修正版、または修正を取り込んだパッケージが、対象サイトの稼働中のPHPへ反映されたか。提供元の回答・版番号・適用日時を残す。 10月23日の追加問題：CVE-2026-115560の修正版番号と厳密な影響版範囲は、10月30日に確認した追加告知では確定できない。10月21日の修正版への更新だけで、この追加問題も「修正済み」とは記録しない。 |
| 暫定対策・適用条件 | 109618・109619は、暫定対策を行っていても修正版の適用とは分ける。対策の対象CVE・内容・稼働環境への反映を記録する。 115560は、3つの条件への該当性と暫定設定の反映を確認。「条件不明」「条件に非該当」「暫定対策済み」を分けて残す。 |
| 動作互換 | 更新後の表示、ログイン、フォーム送信、アップロード、購入など、そのサイトの主要機能が動くか。 |
| 被害の有無 | 改ざんや不審な処理の形跡がないか。疑わしい場合はログなどを保全し、管理者へ調査を依頼する。 |
状態の書き分け：「未確認」は根拠が不足。「非該当」は対象CVEの条件を満たさないと確認できた状態。「暫定対策済み」は対策の反映を確認した状態で、修正完了とは別。「修正済み」は対象CVEの修正が稼働中のPHPへ反映されたと確認できた状態です。115560の条件に非該当でも、109618・109619への対応は別に確認します。
PHP公式は、10月21日の2件は更新が完全な対策で、暫定策は特定の攻撃経路への露出を減らすものと説明しています。追加問題の条件と暫定設定は別の告知です。
WordPress公式の互換表はコアとPHPの動作互換を示す資料です。テーマ・プラグインの動作確認や、PHPの個別修正の確認も必要です。当サイトのWordPress × PHP互換仕様表と個別セキュリティ情報も、両方を整理する入口として利用できます。
更新前に復元方法を確認し、更新後は上の項目を分けて記録します。表示が正常でも修正済みとは限らず、更新完了だけで過去の被害がなかったとも判断できません。不審なPHP処理の監視はCISAも推奨しています。未確認の項目には担当者と次の確認日を添えておくと、対応漏れを防げます。
確認記録と機能点検は当記事の運用上の提案です。個々のサーバーの適用状況と被害の有無は、契約先・管理担当者が確認します。
対応を進める方は、ここまでを確認記録にしてください。回答が足りない項目は契約先への確認事項へ戻り、担当者と次の確認日を決めます。以降は、告知の用語、日米の発信、修正体制の背景を詳しく読みたい方向けです。
PHPの適用状況は、まず契約先のサーバー会社へ確認してください。その回答をもとにWordPress側の動作確認や更新作業を依頼したい場合は、対象サイトと確認したい範囲をお知らせください。通常のヒアリングと見積もりは無料です。調査は内容により有料となる場合があります。更新等の作業は有料です。有料となる場合は、範囲と費用をご案内し、ご了承いただいてから進めます。 WordPress側の確認作業を相談する（任意）
記録例（すべて架空・実際の適用結果ではありません）
- 対象・担当・根拠
- example.invalid／運営担当A・保守担当B／提供会社の回答番号「架空-001」。実際には回答日時・適用日時・パッケージ名・告知URLも記録します。
- 109618・109619：修正
- 未確認。提供会社の全社告知は読んだが、自契約の稼働PHPへの反映回答がまだない。
- 115560：条件・暫定対策
- 条件①・③は提供会社へ照会中、条件②は保守担当へ照会中。非該当とも暫定対策済みとも記録しない。
- 動作確認
- 更新前の表示・フォーム送信は正常。更新後のログイン・購入・アップロードは未確認。
- 被害確認
- 未調査。正常表示だけでは判断しない。担当Bがログ保全と調査範囲を確認する。
- 次の行動
- 担当Aが合意した回答予定時刻に再確認。更新待ちの公開範囲・停止と再開条件は管理者と決める。
回答がそろったら、根拠とともに各欄を更新します。「非該当」は条件を確認できた場合だけ、「修正済み」は対象CVEの修正と稼働環境への反映を確認できた場合だけに使います。
補足1｜9用語と攻撃情報の読み方
補足1｜9用語と攻撃情報の読み方を読む（対応手順の補足）
セキュリティ情報に並ぶ略語は、すべてが危険度の点数ではありません。問題を特定する番号、弱点の分類、深刻度や悪用の評価、対応判断、情報の形式を分けると、「何が分かり、何はまだ分からないか」を読み取りやすくなります。
用語の定義の確認日：2026年10月26日。個別CVEの最新EPSS値・KEV掲載状況などを判定する章ではありません。
1．どの問題・どの製品の話かを特定する
| 用語 | 意味と、読み取るときの注意 |
|---|---|
| CVE 脆弱性の共通識別子 | 個々の脆弱性を、組織や製品の提供元をまたいで同じ問題として参照するための番号です。本記事の 注意：番号が付いているだけで、悪用の発生、自分のサイトへの影響、修正完了を示すわけではありません。 CVEの公式解説 |
| CWE 弱点の種類 | 脆弱性につながるソフトウェアやハードウェアの弱点を分類するものです。例えば 注意：同じCWEに複数のCVEが対応します。CWE番号は個別の脆弱性番号でも、深刻度の点数でもありません。 CWEの公式解説 |
| CPE 製品・版の名前 | 製品名やバージョンなどを、機械でも照合しやすい共通形式で表す仕組みです。脆弱性情報と、自分の環境の製品を結びつける材料になります。 注意：製品名の一致だけで影響を確定せず、対象バージョン、設定条件、配布元による修正の有無も確認します。 CPEの公式解説 |
2．深刻度・悪用・対応の優先度を分けて考える
| 用語 | 意味と、読み取るときの注意 |
|---|---|
| CVSS 技術的な深刻度 | 攻撃の条件や成功時の影響などを、共通の評価方式で表します。基本値だけでなく、脅威や利用環境を加味する評価もあります。 注意：基本値は、その組織のリスクや被害確率そのものではありません。方式の版、評価主体、採点条件を示すベクトルも一緒に読みます。 CVSSの公式解説 |
| EPSS 今後の悪用の見込み | 公開済みCVEについて、今後30日以内に実環境での悪用が観測される確率を推定します。値は更新されるため、取得日も確認します。 注意：自分のサイトが侵害される確率ではありません。percentile（パーセンタイル）は他のCVEと比べた相対順位で、悪用確率とは別です。 EPSSの公式解説 |
| KEV 実悪用の記録 | 実際の悪用の証拠など、掲載基準を満たす脆弱性をCISAが収録するカタログです。対応の優先順位を決める材料になります。 注意：未掲載は「安全」「悪用されていない」という証明ではありません。掲載されていても、自分のサイトが侵害された証拠ではありません。 KEVの公式解説 |
| SSVC 対応を決める手法 | 悪用状況や業務・安全への影響などを判断材料に、関係者の立場に応じた対応優先度を決める方法です。 注意：CVEごとに世界共通の点数が一つ決まる仕組みではありません。組織の役割や状況によって判断が変わります。 SSVCの公式解説 |
数字の読み方の例（説明用の架空値）：EPSSが0.20なら、モデルによる今後30日以内の悪用観測の確率は20％です。percentileが0.99なら、比較対象のおよそ99％より高い順位という意味で、「99％の確率で被害に遭う」ではありません。また、CVSS 9.2を「被害確率92％」と換算することもできません。
3．情報を伝える形式と、部品の一覧を読む
| 用語 | 意味と、読み取るときの注意 |
|---|---|
| CSAF 注意情報の共通形式 | 製品、脆弱性、影響や修正状況などのセキュリティ情報を、機械処理できる構造化された形で作成・交換するための標準です。 注意：CSAF形式の資料があることと、対象のPHPや契約サービスが影響を受けることは別です。資料内の製品・版・状態を確認します。 CSAFの公式解説 |
| SBOM ソフトウェア部品表 | ソフトウェアに含まれる部品と、その依存関係などを記録した一覧です。問題のある部品が含まれるかを調べる出発点になります。 注意：部品表があるだけで安全を保証できません。対象製品・版・作成時点が合うか、部品が実際に影響を受けるかを別に確認します。 SBOMの公式解説 |
実際の注意情報は、この順で確認する
- 問題の特定CVEをそろえる
記事・提供元の告知・修正情報が、同じ脆弱性を扱っているか確認。
- 影響の確認製品・版・条件を照合
CPEやSBOMも手掛かりに、提供元の告知やCSAFで対象と修正状況を確認。
- 優先度の判断点数と悪用情報を区別
CVSS・EPSS・KEVを役割別に読み、業務への影響も含めてSSVCなどで判断。
- 対応の確認修正と稼働環境への反映
適用日時・対象サイト・確認結果を記録。不明点はサーバー会社や管理者へ確認。
「未確認」は情報をまだ確かめられていない状態です。「非該当」や「修正済み」とは区別し、対象CVE・製品・情報源・確認日をそろえて記録します。指標が低い、または未掲載という理由だけで、公式の緊急更新を見送るための図ではありません。
CVSSの9.2と8.1は、どちらを見るべきですか？
PHPの予告では2件をCVSS v4.0で9.2と評価しています。一方、Red Hatの109618の情報にはCVSS v3の基本値8.1が掲載されています。対象CVE、採点のバージョン、評価主体、計算の前提を揃えて読みます。数字だけの大小比較や、別のCVEへの転用はできません。
CVSSは脆弱性の深刻度を表す指標で、個々のサイトが被害を受ける確率ではありません。EPSSやKEVも目的が異なり、未確認を「0」「安全」と読み替えることはできません。本稿では個別CVEの最新EPSS値・KEV掲載状況は判定していません。定義と読み方はこの章のセキュリティ情報の9用語、指標の一次資料はFIRSTのEPSS FAQとCISAのKEVカタログを参照してください。
攻撃の実証があるなら、すでに広く悪用されていますか？
- 実証攻撃が成立することを確認
検証環境や特定条件で攻撃できることの確認。
- 試行の観測攻撃を試みる通信を確認
AWSのハニーポットやCloudflareの顧客向け通信での観測。
- 侵害の確認実システムの調査で判断
対象サイトで侵害が成功したか、影響範囲はどこまでかを個別に確認。
実証や試行の観測だけで、個々のサイトの侵害成功を確定できません。観測主体と観測時点も確認します。
CISAは10月21日の告知時点で、自ら悪用を観測していないと説明していました。一方、AWSは攻撃観測用のハニーポットで10月17日にさかのぼる攻撃試行を、Cloudflareも顧客を狙う攻撃通信を報告しています。AWSは、観測した試行が実システムで成功し得たかは未確定としています。これらは全サイトの侵害を示しませんが、「攻撃は起きていない」と扱うこともできません。公開日より前のログも含めて確認する理由になります。
補足2｜日米の発信を条件と時点で読む
補足2｜日米の発信を条件と時点で読むを読む（対応手順の補足）
前回の記録（10月26日）：公式カードで投稿者・URL・日付・本文冒頭を確認。今回（10月30日）：原文2件へのアクセスが制限され、全文・時刻を再確認できていません。以下の日本側の要旨・時刻は前回記録と掲載報道に基づく整理で、今回の一次資料による全文確認済み情報ではありません。
CISA側は今回も公式配信本文を照合しました。日本側の全文未確認部分から、停止命令や現場への実際の影響を断定しません。
日本：10月21日 21:55 JST
修正版の公開予定前の高市早苗首相のX投稿。PHP利用確認と23時の公開に向けた準備を呼びかけ、迅速な適用が難しい場合の選択肢として一時停止を提示。
米国：10月22日 01:45 JST
修正版公開後のCISA告知。直ちに更新できない場合やサポート終了版の継続使用では、修正・更新までオフライン化を推奨。
いずれも更新が基本で、停止には条件があります。日付・時刻は日本時間に統一し、発信時点の違いも示しています。
カードが表示されない場合も、10月21日の投稿をXで読むことができます。
カードが表示されない場合も、10月22日の投稿をXで読むことができます。
首相の翌22日の投稿は、自身のサイトの停止・対応・再開を紹介し、管理者や委託先による注意情報の把握を勧めています。21日の一時停止の呼びかけも、すべてのPHPサイトへの一律停止命令とは読めません。
参照：10月21日の元投稿、10月22日の元投稿。2026年10月26日、X公式の埋め込み情報とカードで、投稿者・日付・URL・本文冒頭を確認しました。長文の後半は省略表示され、Xからの全文の直接取得は未確認です。後半の要旨は、投稿を掲載したJ-CASTとImpress Watchの掲載文とも照合しています。全文は各カードの「さらに表示」または原文リンクで確認してください。
CISAの告知の現地時刻は10月21日12時45分（EDT）です。「米国政府は停止せず裏で更新するよう指示した」という一次資料は、今回確認した範囲では見つかりませんでした。
出典：CISAの公式配信。CloudflareのWAF保護は民間事業者の対策で、米国政府の無停止運用指示を示すものではありません。
ここからは発信と運用についての分析です。首相の呼びかけには、技術情報に触れない経営者や運営者へ緊急性を届け、対応を後押しする意義があります。その一方で、強い緊急表現や自身の停止事例だけが広まると、「止めること自体が正解」と受け取られる余地があります。これは発信上のリスクの評価であり、投稿が現場の混乱を引き起こしたと実証したものではありません。
改善点は、警告に誰が・何を確認し・どこまで制限し・何を確認して再開するかを結びつけることです。運営者には契約先への確認事項を、管理者には修正・暫定対策の条件を示し、Xのフォロー推奨に加えて、担当者への通知と回答・完了確認までつなぐと、行動を選びやすくなります。
現場には、共有サーバーで更新権限がない、互換性試験が必要、夜間の連絡先が不明、停止が業務へ影響する、といった異なる制約があります。更新を待つ間の防御や、更新済み環境へ切り替える運用の可否は、構成と検証結果で判断します。NISTのパッチ管理指針も、保守期限・停止可能時間・互換性などを計画上の課題に挙げています。ここで挙げた制約は運用上の論点の整理であり、現場全体の意見や日米の優劣を調査・実証したものではありません。
補足3｜修正に至る経緯と平時の備え
補足3｜修正に至る経緯と平時の備えを読む（対応手順の補足）
- 2024年OOM問題の兆候を把握
PHP Foundationによると、監査指摘の修正中に発見。当時は具体的な攻撃経路が不明。
- 2026年7月30日Califが監査を開始
その後、問題の報告と攻撃の実証の共有へ進む。
- 8月11日・14日報告と実証の共有
Califは11日に最初の問題を報告し、14日に攻撃の実証を共有したと説明。
- 10月21日修正版を公開
協調対応を経て公開。PHP側は、直前の情報流出を受け、22日から21日へ前倒ししたと説明。
出来事の順序を示す図です。期間の長さや対応速度を比較する図ではなく、10月23日の115560の経緯とは分けています。
Foundationは、互換性などの難しい選択、合意形成、専門人員不足が修正の停滞につながったと説明し、構造的な失敗を認めて意思決定と体制を見直しています。「実証済みの重大な攻撃を2年間放置した」とも、公開時の対応だけから全期間を一括して「迅速だった」とも断定できません。
出典：Califの時系列、PHP Foundationの説明。これは主に109618／109619の経緯で、10月23日の115560とは分けて読んでください。
この経緯からは、緊急時の呼びかけとともに、PHP自体の保守人員、利用側の更新予算、委託先との役割分担、復旧を判断できる権限を平時から整える必要があると考えます。IPAも継続的な予算・人材の確保を扱い、NCOのハンドブックは、業務へ影響する停止の判断権限を対応体制に含める考え方を示しています。日本の制度文書も、状況に応じた対応と事業継続を扱っています。
更新履歴と次の行動
- 10月25日：初稿。修正案内・追加告知・停止条件・背景を整理。
- 10月26日：用語、構成、導線とXカードの確認範囲を整理。技術事実の確認日は25日を維持。
- 10月30日：冒頭に記した一次資料を再確認。Windows再ビルドの関連告知、問い合わせ文、架空記録例、4図解を追加し、背景3章を補足へ整理。X全文は再取得できず、未確認範囲を明示。
対応の区切り：対象サイトとCVEごとに根拠・反映・動作確認を記録し、被害確認と残課題は別欄へ。未確認事項には担当者と次回確認日時を残します。回答が不足していれば問い合わせ文で再確認し、記録例に沿って更新してください。
