PHP公式セキュリティチームより、重大な脆弱性を修正するセキュリティリリースの事前告知がありました。Maintic WP Platformでご利用いただいているサーバーも影響を受ける可能性が高いため、取り急ぎご案内と、対応方針のご確認をお願いいたします。
公開予定の概要
- 公開予定日時：2026年10月21日（水）23:00（日本時間）
- 内容：重大な脆弱性2件（いずれも CVSS v4.0 スコア 9.2、最高位の Critical）
- 影響を受けるバージョン、修正版、脆弱性の詳細：リリースと同時に公開される予定で、現時点では非公開です
- 備考：脆弱性の詳細が流出した場合や、実際の攻撃が確認された場合は、予定より早く公開される可能性があります
- 参考：https://www.php.net/archive/2026.php#2026-10-20-1
懸念される被害について
複数のセキュリティ専門企業が、認証なしで外部からサーバー上の任意のプログラムを実行できる脆弱性（リモートコード実行）であると報告しています。PHP公式からの正式な説明はまだありませんが、該当する場合はサーバーの乗っ取り、個人情報や認証情報の窃取、サイトの改ざん、マルウェアの設置などにつながるおそれがあります。修正版と脆弱性の詳細が同時に公開されるため、公開から数時間〜数日が最も危険な期間です。
Maintic WP Platformの対応方針
脆弱性の深刻度を鑑み、お客様への事前確認を待たず、タロスカイの判断で以下を実施いたします。
- 緩和設定の先行適用（本日中）：セキュリティ専門企業が有効としているPHPの設定変更を、修正版の公開を待たずに適用します。この設定はWordPressの動作に影響しません
- 修正版PHPの適用（公開後）：修正版が公開され次第、順次適用します。適用の際、PHPの再起動により短時間の応答遅延やエラーが発生する可能性があります
- 作業前のバックアップ：タロスカイが作業を行うサーバーでは、作業前にバックアップを取得します
ご利用環境ごとの対応
Suite パッケージ（AWS）をご利用のお客様
タロスカイが緩和設定と修正版PHPの適用を行います。作業は深夜から早朝にかけて行う見込みです。メンテナンス画面への切り替えは行わず、サービス稼働中に実施します。
WP パッケージ（レンタルサーバー）をご利用のお客様
レンタルサーバー事業者（さくらインターネット、エックスサーバーなど）が修正版PHPを提供・適用します。タロスカイは適用状況を確認し、事業者側での対応が確認できない場合はタロスカイから設定変更を行います。お客様側での作業は不要です。
上記以外のホスティングをご利用のお客様
ホスティング事業者に対応状況を確認中です。タロスカイ側で作業が必要な場合は、個別にご連絡いたします。
PHP 8.1以前で稼働しているサイトをご利用のお客様
修正版はPHP 8.2以上にのみ提供される見込みで、8.1以前のバージョンには修正が提供されない可能性が高い状況です。該当するお客様には、PHPを8.2以上へ強制的に更新させていただく旨を、個別にご連絡しております。更新により、サイトの表示が崩れたり、一部の機能が正常に動作しなくなったりする可能性がありますが、脆弱性の深刻度を鑑み、確認なしで更新させていただきます。更新後に不具合が確認された場合は、タロスカイで状況を確認し、順次復旧対応を行います。
ご希望・ご指定がある場合はお知らせください
上記の基本方針で問題なければ、ご返信は不要です。作業時間帯や緊急連絡先など、ご希望・ご指定がある場合のみ、本日18時までにご連絡ください。なお、脆弱性の深刻度から、対応そのものを見合わせることはできかねます。期限までにご連絡がない場合は、基本方針で進めさせていただきます。
対応後の動作確認のお願い
対応完了後、タロスカイにてサーバーの稼働状況とサイトの基本的な表示を確認したうえでご報告します。お問い合わせフォーム、会員ログイン、決済など、業務上の機能については、お客様にて動作確認をお願いいたします。表示の崩れや不具合にお気づきの際は、お手数ですがタロスカイまでご連絡ください。
急なご案内となりますことをお詫び申し上げます。ご不明な点がございましたら、担当者またはお問い合わせフォームまでお気軽にご連絡ください。
タロスカイ株式会社 Maintic WP Platform 運用保守チーム
