PHPの脆弱性とは？10月21日に何が起きたのか

Webサイトを動かすプログラムに重大な問題が見つかった

PHPは、WebサイトやWebアプリケーションの開発に広く使われているプログラミング言語です。例えば、問い合わせフォームから送信された情報を処理したり、会員ページに表示する内容を管理したりする仕組みなどに利用されます。

Webサイトは、画面に表示される文章や画像だけで動いているわけではありません。利用者から送られた情報を処理し、データベースと連携し、必要な情報を画面に表示するためのプログラムが裏側で動いています。PHPは、こうした仕組みを支える技術の一つです。

今回、PHPのプログラムを処理する仕組みに2件の重大な脆弱性が見つかりました。脆弱性とは、ソフトウェアの設計や実装などに存在する、攻撃に悪用される可能性のある弱点のことです。

PHP開発チームは2026年10月21日、次の2件に対応するセキュリティ更新を公開しました。

• CVE-2026-109618
• CVE-2026-109619

どちらもCVSS v4.0で9.2と評価されており、未認証の攻撃者による遠隔コード実行につながる可能性があります。遠隔コード実行とは、攻撃者が対象のコンピューターやサーバーに直接ログインしなくても、ネットワークを通じて不正なプログラムを実行できてしまう問題です。

つまり、単にWebサイトの表示が崩れるといった不具合とは異なり、サーバーやそこに保存されているデータの安全性に関わる問題です。

脆弱性が見つかったら、すべてのWebサイトが危険なのか

ここで注意したいのは、PHPの脆弱性が公表されたからといって、すべてのWebサイトが同じように危険になるわけではないという点です。

実際に影響を受けるかどうかは、使用しているPHPのバージョンや実行環境、システムの構成などによって異なります。PHPを使用していないサイトであれば、今回のPHP本体の脆弱性が直接の影響を及ぼすとは限りません。

一方、PHPを利用していて、影響を受けるバージョンを使い続けている場合は、修正プログラムの適用が必要です。

PHP開発チームは修正版として、PHP 8.5.12、8.4.27、8.3.36、8.2.35などを公開しました。PHP 8.1以前はサポートが終了しており、今回の脆弱性について通常の修正提供を受けられないバージョンがあるため、利用環境に応じた対応が求められます。

また、IPA（情報処理推進機構）は事前告知の段階で、今回の脆弱性を悪用した攻撃を確認しているわけではないと説明していました。脆弱性の公表と、実際に被害が発生したことは別の話です。

PHPの脆弱性は建設業界にどのような影響を与えるのか

建設会社の公式サイトや採用サイトも確認が必要

建設業界との接点として、まず考えられるのが企業のWebサイトです。

建設会社の公式サイトには、会社概要や施工実績、問い合わせフォーム、採用情報などが掲載されています。こうしたサイトの構築や管理にPHPが使われている場合、利用している環境が今回の脆弱性の影響を受けるか確認する必要があります。

例えば、採用サイトが不正アクセスを受けた場合、状況によっては応募者の情報やサイトの管理情報などが危険にさらされる可能性があります。問い合わせフォームを通じて情報を受け付けている場合も、個人情報の取り扱いには注意が必要です。

ただし、PHPの脆弱性があることだけで、応募者の情報が漏えいしたと判断できるわけではありません。実際の影響は、システムの構成や攻撃の有無などによって変わります。

重要なのは、見た目が正常に表示されているかどうかだけで安全性を判断しないことです。利用しているソフトウェアが適切に更新され、管理されているかどうかも確認する必要があります。

施工管理システムやクラウドサービスにも目を向ける

建設現場では、施工管理、工程管理、図面の共有、写真の整理、報告書の作成など、さまざまな業務でデジタル技術が活用されています。

こうしたサービスのすべてがPHPで作られているわけではありません。しかし、Webブラウザーから利用するサービスや、社内外で情報を共有するシステムでは、複数のソフトウェアやサーバー技術が組み合わさっていることがあります。

仮に、利用しているサービスのサーバーが影響を受ける環境だった場合、サービスの提供元が修正対応を行う必要が生じる可能性があります。利用者が直接PHPを操作していなくても、提供元のセキュリティ管理が業務の継続性に関係することは押さえておきたい点です。

例えば、現場写真や工程情報、取引先との連絡などをシステム上で管理している企業では、サービスが停止した場合に備えた連絡体制や代替手段も重要になります。

なお、今回のPHP脆弱性によって、建設業界の施工管理システムが一斉に被害を受けたと確認されているわけではありません。自社で利用しているサービスが対象となるかは、提供元の公式発表や問い合わせを通じて確認する必要があります。

建設業界では、現場以外のIT管理も仕事を支えている

建設業界というと、建物や道路をつくる現場の仕事をイメージする人が多いかもしれません。しかし、実際には設計、積算、工程管理、資材の手配、顧客対応、採用、経理など、多くの業務が連携して一つの工事を支えています。

これらの業務にデジタル技術が取り入れられると、情報を共有しやすくなる一方、システムが正常に動くことや、データを安全に扱えることも重要になります。

今回のニュースが建設業界にとって示しているのは、特定のソフトウェアの問題だけではありません。現場の仕事を支えるIT環境についても、継続的な管理が必要だということです。

「自社で開発していないから安全」は本当？よくある3つの誤解

誤解1：Webサイトが正常に表示されていれば問題ない

Webサイトがいつもどおり表示されていても、内部のソフトウェアに脆弱性が残っている可能性はあります。

脆弱性は、必ずしも画面上の異常として現れるものではありません。利用者が気づかないまま、攻撃に悪用される可能性もあります。

そのため、画面を確認するだけでなく、PHPやCMSなどのバージョン、更新状況、サーバーの管理体制を確認することが大切です。

誤解2：外部の制作会社に任せていれば、何もしなくてよい

Webサイトを制作会社やサーバー管理会社に任せている企業は少なくありません。専門家に管理を委託すること自体は、有効な選択肢です。

ただし、どの範囲を誰が管理しているのかが明確でなければ、重要な更新情報が共有されない可能性があります。

例えば、Webサイトのデザインや記事の更新は制作会社が担当し、サーバーの管理は別の会社が担当しているケースも考えられます。どちらがPHPの更新を担当するのか、緊急時に誰へ連絡すればよいのかを把握しておくと、迅速な対応につながります。

自社でプログラムを開発していない場合でも、利用しているシステムの管理責任や連絡先を確認することはできます。

誤解3：一度更新すれば、セキュリティ対策は終わり

ソフトウェアの更新は重要ですが、それだけで将来のすべてのリスクを防げるわけではありません。

新しい脆弱性が見つかることもあれば、アカウントの管理や設定の不備が問題になることもあります。システムの安全性を保つには、更新情報を継続的に確認し、必要な対応を積み重ねることが欠かせません。

建設現場で設備を点検・維持するのと同じように、ITシステムも導入したまま放置するのではなく、適切に管理していく必要があります。

建設DXが進むほど、ITとセキュリティの知識が重要になる

デジタル化は、導入するだけでなく安全に使い続けることが大切

建設DXとは、デジタル技術を活用して、建設業務の進め方や組織の仕組みを改善していく取り組みです。図面のデータ共有、施工管理の効率化、現場情報の記録など、さまざまな業務でITの活用が進んでいます。

こうした技術は、情報共有をスムーズにし、作業の効率化や記録の管理に役立ちます。一方で、システムに保存される情報が増え、複数の企業や担当者が同じ環境を利用するほど、データの保護やアクセス管理も重要になります。

今回のPHP脆弱性は、建設DXそのものが危険だということを意味しているわけではありません。むしろ、デジタル技術の利点を活かすためには、導入後の保守やセキュリティ対策も含めて考える必要があることを示しています。

建設技術者とIT技術者、それぞれの専門性が活きる

建設業界の課題を解決するために、すべての建設技術者がプログラミングやサーバー管理を身につける必要があるわけではありません。

建築や土木の技術者には、構造や施工、材料、安全性などの専門知識があります。一方、IT技術者には、ソフトウェア開発、ネットワーク、データ管理、セキュリティなどの専門性があります。

それぞれの知識を組み合わせることで、現場の実情に合ったシステムを選び、安全に運用しやすくなります。例えば、現場の課題を理解している人が必要な機能を整理し、IT技術者がそれを実現する仕組みを設計するといった連携が考えられます。

また、建設業界の業務を理解したうえでシステムを開発・管理できる人材や、ITの知識を持ちながら現場の課題を解決できる人材も、デジタル化を支える存在となります。

IT分野の将来性は、技術を現場の課題解決に活かせるかがポイント

IT技術は建設業界に限らず、多くの分野で使われています。そのため、ITを学ぶことは、ソフトウェア開発会社などに就職する道だけでなく、製造、物流、建設、サービスなど、さまざまな業界の仕事を理解するうえでも役立ちます。

ただし、IT分野なら必ず安定した仕事に就ける、というわけではありません。必要とされるスキルは技術の進歩によって変わり、仕事によって求められる知識や経験も異なります。

大切なのは、プログラミングの知識だけでなく、情報を安全に扱う考え方や、問題が起きたときに原因を調べて解決する力を身につけることです。

今回のような脆弱性のニュースは、IT技術が便利な仕組みをつくるだけでなく、その仕組みを安全に維持する仕事にも支えられていることを教えてくれます。

PHPの脆弱性に関して企業が確認しておきたいこと

今回の脆弱性への対応では、影響を受けるシステムを特定し、適切な修正プログラムを適用することが重要です。PHP開発チームは、修正版への更新を強く推奨しています。

企業の担当者が確認したいポイントは、次のとおりです。

• 自社のWebサイトや業務システムでPHPを利用しているか
• 利用しているPHPのバージョンが今回の影響対象に該当するか
• サーバーやCMSの管理を担当している会社はどこか
• 修正プログラムの適用状況と、今後の更新方針が明確になっているか
• 不審な動作やセキュリティ上の問題があった場合の連絡先が分かっているか

自社でサーバーを管理している場合は、担当するシステム管理者や開発者が、PHP公式のセキュリティ情報を確認し、適切な更新を行う必要があります。更新にあたっては、システムの互換性や動作確認も考慮します。

一方、レンタルサーバーや外部のクラウドサービスを利用している場合は、サービス提供元がどの範囲を管理しているかによって対応が異なります。利用者が独自に更新できるとは限らないため、提供元の案内を確認し、必要に応じて問い合わせましょう。

また、古いバージョンを利用している場合は、単に更新するだけでなく、サポートが継続しているバージョンへの移行を検討することも大切です。

今回の脆弱性について、PHP開発チームは完全な代替策はなく、更新が必要だと説明しています。影響を受ける環境を使っている場合は、対策を先延ばしにせず、管理者や提供元と連携して対応することが重要です。

よくある質問（FAQ）

PHPの脆弱性とは何ですか？

PHPの脆弱性とは、PHPのプログラムを処理する仕組みに存在する弱点のうち、攻撃に悪用される可能性があるものです。今回の脆弱性では、条件がそろうと、認証されていない攻撃者がサーバー上で不正なコードを実行できる可能性があります。影響の有無は、利用しているバージョンや環境によって異なります。

今回のPHP脆弱性で建設会社に被害は発生しましたか？

今回確認した公式発表からは、建設業界で被害が発生したと断定できる情報は確認できません。脆弱性が公開されたことと、それを悪用した攻撃による被害が発生したことは別です。ただし、PHPを利用する建設会社のWebサイトやシステムは、対象となる環境かどうかを確認する必要があります。

WordPressを使っている建設会社も対策が必要ですか？

WordPressはPHPを利用して動作するCMS（コンテンツ管理システム）です。そのため、今回の脆弱性に関しては、WordPressの本体やテーマの更新だけでなく、サーバー側のPHP環境も確認することが重要です。サーバー管理会社やサイトの保守担当者に、PHPのバージョンと更新状況を確認しましょう。

建設会社が自社でPHPを使っているか確認するにはどうすればよいですか？

Webサイトの見た目だけで、PHPを使用しているかどうかを正確に判断するのは困難です。サイトの保守担当者や制作会社、レンタルサーバーの管理画面、システムの運用資料などを通じて確認する方法が確実です。外部サービスを利用している場合は、サービス提供元に影響の有無や対応状況を問い合わせましょう。

建設業界で働く人にもITやセキュリティの知識は必要ですか？

すべての建設技術者がプログラムを開発できる必要はありませんが、業務で利用するシステムの仕組みや、情報を安全に扱う基本的な考え方を理解することは役立ちます。特に、システムの導入や運用に関わる人は、管理者やサービス提供元と適切に連携するための知識が重要になります。

まとめ：建設業界のデジタル化を支えるのは、安全に使い続ける技術

2026年10月21日23時に公開されたPHPのセキュリティ更新は、WebサイトやWebアプリケーションの安全性を改めて考えるきっかけとなるニュースです。

建設業界で被害が確認されたということではありませんが、公式サイトや採用サイト、業務システムなどでIT技術が活用されている以上、利用するソフトウェアやサービスの管理状況を把握することは重要です。

建設DXが進むなかでは、新しいシステムを導入するだけでなく、情報を安全に扱い、必要な更新を行いながら使い続けることも欠かせません。

建設技術とIT技術は、別々の分野でありながら、現場の仕事を支えるうえでつながっています。今回のニュースをきっかけに、身近なWebサイトや業務システムがどのように動き、誰が安全性を守っているのかを考えてみてはいかがでしょうか。

日本工科大学校についてもっと知りたい方へ

日本工科大学校には、建設・自動車・AI・ITなど、将来の仕事につながる専門分野を実践的に学べる学科・コースがあります。少しでも興味を持った方は、ぜひ各学科のページや学校案内をご覧ください。

学科・コースをチェックする

それぞれの学科で学べる内容や取得を目指せる資格、将来の仕事などをご紹介しています。

学校案内・資料を請求する

授業内容や資格、就職、学校生活など、日本工科大学校について詳しく知りたい方は資料請求をご利用ください。

オープンキャンパスに参加する

「実際の授業を見てみたい」「学校の雰囲気を知りたい」という方は、オープンキャンパスへ！体験授業や校舎見学を通して、日本工科大学校の学びを実際に体験できます。