何が起きたか
2026 年 5 月 7 日、PHP の開発元がセキュリティ修正版を公開しました。修正は 12 件で、主なものは次のとおりです。
- CVE-2026-6735: PHP-FPM の状態表示ページで、細工した URL から不正なスクリプトを仕込まれる（php.net の評価 CVSS 7.3）
- CVE-2025-14179: データベース Firebird を使う場合の SQL インジェクション（php.net 7.4 ／ NVD 9.8）
- CVE-2026-7261: SOAP 機能のメモリの扱いの不具合（php.net 6.3 ／ NVD 9.8）
どれも特定の機能を使っている場合に限られますが、深刻度は出典によって大きく違います。
対象と修正版
- 修正版: 8.5.6 / 8.4.21 / 8.3.31 / 8.2.31（現在は 10 月 21 日公開の版が最新です）
確認すること
- サーバーの PHP の版を確かめ、使っている系統の最新版にする
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。