PHP脆弱性対応の経緯｜本体・Windows版・組み込み製品の修正状況
PHP本体の修正、セッション設定の追加注意、Windows版のBrotli更新、製品別の対応を区別して時系列で追えます。
最新の公式発表日：2026-10-27 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
最終確認 2026-10-27
修正版公開・利用環境の更新が必要
10月27日確認時点で、21日のPHP本体の修正版に加え、23日のセッション設定に関する注意、26日のWindows再ビルド版が案内されています。組み込み製品は製品提供元の修正版を確認します。一つの更新で全問題に対応したとは判断できません。
前報からわかったこと
10月27日追記：セッション設定とWindows配布物の追加情報、PAN-OSの製品別対応を接続しました。Windows版の「-1」は同梱Brotliを更新した識別子で、PHP実行時の版番号は変わりません。企業対応欄はLegalOnの再開発表とcPanelの更新情報も反映しました。
これまでの経緯
公式発表の公表日順（古い順）に掲載しています。当社記事がない報告は公式発表へ直接リンクしています。
修正予告
重大な脆弱性2件の修正を予告。対象バージョンや技術詳細は、この時点では未公表でした。
PHP、重大な脆弱性2件の修正を予告―日本時間10月21日23時に公開予定 →当社記事公開：2026-10-21 · 公式発表 ↗修正版公開
4系列の修正版と2件の原因を公開。認証不要のコード実行につながるおそれがあり、設定変更だけでは完全な対策にならないと説明しました。
PHP、認証不要のコード実行につながる重大な脆弱性2件を修正 →当社記事公開：2026-10-22 · 公式発表 ↗セッション設定の追加注意
保存形式を実行中に変更する特殊な構成に注意を案内。通常バグ修正リリースまでの設定変更を示しています。
公式発表 ↗Windows配布物のBrotli修正
PHP本体の2件とは別のBrotli脆弱性に対応した再ビルド版を公開。cURLでHTTP応答の自動展開を使う構成を確認します。
PHP Windows版にBrotli修正―更新済みでも「-1」付きパッケージを確認 →当社記事公開：2026-10-27 · 公式発表 ↗PAN-OSの製品別情報を更新
管理画面とXML APIの対応を案内。公開済み修正版と提供予定を区別し、機器ごとに照合します。
PAN-OSのPHP対応、修正版を順次案内―管理画面の接続制限も確認 →当社記事公開：2026-10-27 · 公式発表 ↗
企業・サービスへの影響と対応
各社が公表した対応を、公表・更新日の古い順に掲載しています。停止や更新対応と、侵害被害の確認は区別しています。
MyUTMポータルを停止し、PHPを更新 ↗
公表・更新日： / 確認日：2026-10-27影響するPHPを利用していた旧ライセンス用ポータルを10月21日に停止。更新後に再開する方針です。悪用の証拠は確認しておらず、ログ調査を継続中としています。Sophos製品自体は影響を受けないと説明しています。
Legal Learningと契約ウォッチの再開を公表 ↗
公表日： / 確認日：2026-10-2722日13時にLegal Learning、16時に契約ウォッチの対策完了と再開を発表。国外IPからのフォーム送信・登録・ログインも再開しています。発表時点で本脆弱性による不正アクセス・情報漏えいは確認していないと説明しています。
cPanel & WHMとEasyApache向けの修正版を案内 ↗
更新日（原文表記・時差未確認）： / 確認日：2026-10-27cPanel & WHMとPHPパッケージの影響範囲・修正版を一覧で公開しました。管理者に更新を求める告知であり、顧客の侵害被害を発表したものではありません。
確認できていないこと
掲載した企業の停止・更新対応は、その企業への侵入や情報漏えいが確認されたことを意味しません。LegalOnは不正アクセス・漏えいを未確認、SophosはMyUTMで悪用の証拠を未確認として調査を続けています。各社の対応状況は確認時点のものです。
出典と編集について
PHP開発チーム：重大な脆弱性2件の修正版公開（10月21日） ↗本記事は公式発表と当媒体の過去記事を整理した経緯まとめです。公表日と当社記事の公開日を区別し、確認時点を明記しています。