PHPの脆弱性問題、弊社の対応について。

平素はLLLLIFE,INC.をご利用いただき、誠にありがとうございます。

2026年10月21日(水)に公開されたPHPの重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応として実施しておりましたメンテナンスにつきまして、サーバ会社にて修正の適用が完了し、2026年10月22日(木) 11時24分にお客様のサイトの表示を再開することができました。公式の修正版が提供されていない古いバージョンのPHPにつきましても、弊社契約のサーバ会社にて、修正を作成・適用したうえで再開することができました。

お客様には長時間にわたり多大なご不便とご迷惑をおかけいたしましたことを、深くお詫び申し上げます。
本件の経緯と対応内容、お客様へのお願いを以下のとおりご報告いたします。

経緯
￣￣￣￣
（日本時間）
・2026年10月21日(水) 午前：PHPの開発元から、重大な脆弱性の修正版を同日23時（日本時間）に公開するとの予告あり。
・2026年10月21日(水) 22時30分過ぎ：PHPの開発元が、予定より早く修正版と脆弱性の詳細を公開。
・2026年10月22日(木) 03時05分頃：修正の適用が完了するまでの間、お客様のサイトを守るため、一部サーバーでお客様のサイトの表示を停止。
・2026年10月22日(木) 03時05分頃：修正の適用が完了するまでの間、お客様のサイトを守るため、弊社がマニュアルでお客様のサイトの表示を停止。
・2026年10月22日(木) 未明～午前：サーバー会社にて、全バージョンのPHPについて修正の作成・検証・適用を実施。
・2026年10月22日(木) 11時24分頃：サーバー会社、弊社にて、お客様のサイトの表示を再開。

お客様のサイトを停止した理由
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
今回の脆弱性は、認証なしで外部からサーバー上のプログラムを実行される（サイトの改ざんやデータの持ち出しにつながる）おそれがある、深刻度の高いものでした。
公式の修正版が提供されたのは PHP 8.2 以降のみで、それより古いバージョンについても、修正を作成・検証して適用する必要があり、その間も緩和策（設定による対策）だけでは攻撃を完全には防げない可能性が否定できず、実際に脆弱性を狙ったとみられるアクセスも確認されておりましたので、サイトを停止したとのことです。

PHPの実行環境はサーバー側で提供しているものであり、LLLLIFE,INC.を含む各契約会社では防ぐことが難しい問題です。そのため、修正の適用が完了するまでの間、お客様のサイトとデータを守ることを最優先とし、一時的にサイトの表示を停止する判断をしたとのことです。

なお、個別の切り分けに時間をかけるよりもすべてのお客様のサイトを速やかに保護することを優先したほうがよいと判断し、停止はサーバー単位で行ったため、PHP 8.2 以降をお使いのサイトや、PHPを使用していないサイトも表示できない状態となっておりました。

LLLLIFE,INC.は、契約いただいているサーバー会社の判断を支持し、不眠普及で復旧に向けて仕事をしてくださったエンジニアの皆様、今もなお復旧に向けて働かれている皆様と、その家族の皆様に感謝しています。

PHPのバージョンアップの実施
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
LLLLIFE,INC.は、開発元のサポートが続いている新しいバージョンのPHP（8.2 以降）への切り替えを実施いたします。
WordPress 本体だけでなく、PHPのバージョン、プラグイン、テーマについても、最新の状態になっているか、開発・更新が続いているか（長期間更新されていないものがないか）を確認し、更新が止まっているプラグイン、テーマは、新たな脆弱性の原因になることがありますので、すべてをサポート範囲内のバージョンにアップグレードします。
今後も安全にサービスをご利用いただけるよう努めてまいります。何卒ご理解とご協力を賜りますようお願い申し上げます。

■ 関連情報
￣￣￣￣￣
PHP公式サイトの告知（英語）
https://www.php.net/archive/2026.php#2026-10-21-5

独立行政法人情報処理推進機構（IPA）の注意喚起
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html

過去の写真生活。