仮に、会社のサイトが普段どおり表示されているとき、「PHPやNode.jsの更新は来月でいいですか」と聞かれたら、何を確かめるだろう。これは判断を考えるための仮の場面だ。2026年10月21日には、両者の安全上の問題に対応する更新が案内された。画面が表示されることだけでは、裏側の欠陥が直っているかは分からない。この記事の情報は2026年10月23日に確認した。
サイトの見た目と、裏側の土台は別
PHPとNode.jsは、サイトや業務サービスの裏側でプログラムを動かす土台だ。利用者が見るページに変化がなくても、その土台には更新が必要になることがある。WordPressなどのアプリを更新したという表示だけでは、サーバーで動いているPHPの版まで確かめたことにはならない。
PHP公式の10月21日の告知は、二つの重大な欠陥、CVE-2026-109618とCVE-2026-109619に対応したと説明している。条件が重なると、ログインしていない第三者がサーバーに意図しない処理を実行させる可能性がある。公式が特に危険とするのはmod_phpという動かし方だが、PHP-FPMなど、別の方法でPHPを動かすウェブサーバーも対象に挙げている。これらはサーバーの実行方式の名前であり、利用者が知らなくても不思議ではない。自社の方式が分からなければ、管理会社や運用担当者に確かめたい。
修正済みの版は、PHP 8.5系が8.5.12、8.4系が8.4.27、8.3系が8.3.36、8.2系が8.2.35だ。JPCERT/CCの10月22日の注意喚起は、それより前の各系列を対象に挙げる。8.1以前には通常の更新版が提供されず、一部の古い系列には例外的な最小限の緩和策が示された。これを通常のサポート再開と受け取ってはいけない。製品やOSの提供元がPHPを組み込んでいる場合は、その提供元の案内も確認する必要がある。
Node.js公式の10月21日の告知でも、22系・24系・26系向けの更新はすでに公開されている。修正版は順にv22.23.4、v24.22.1、v26.12.1だ。公表された問題の一つは、Brotliという方式で圧縮したデータを元に戻す処理の欠陥（CVE-2026-111497）で、遠隔からサーバー上で意図しないプログラムを実行される可能性がある。公式が示す今回の最高深刻度は「HIGH」で、PHPの「Critical」とは区別したい。ただし、すべてのNode.jsアプリで外部からこの処理にデータが届くとは限らない。使っている機能と入力の経路を確かめ、実際に動く版を修正版と照らす必要がある。
速い発見に、更新の判断は追いつくか
国内の事業者が一律に対応を遅らせている、とも言えない。さくらインターネットの発表によると、同社は10月21日22時30分から予防的な緊急メンテナンスを始め、22日8時15分時点では一部を除いて解除した。一方、一部の機能では作業が続いていた。同社が示すのは自社サービスの対応状況であり、日本全体の更新速度を表す数字ではない。
IPAが2025年5月27日に公表した調査は、2024年10月から2025年1月に、中小企業の経営層や情報システム担当者から得た4,191件のウェブ回答に基づく。「実施」と「一部実施」を合わせると、パソコンやスマホなどのOS・ソフトを最新にする項目は73.0％、ウイルス対策ソフトと定義ファイルの項目は71.4％だった。一方、新たな脅威や対策を社内共有する仕組みは37.9％、事故時の体制や手順の準備は39.8％だった。いずれも回答者の自己申告であり、今回のPHPやNode.jsの修正適用率やサーバーの実測値ではない。2026年の対応速度や海外との比較も、この調査からは分からない。
ここからは筆者の考えだ。気になるのは、次の知らせが届いたとき、更新する対象と担当者をすぐ特定できるかどうかである。PHP Foundationは、安全上の問題を見つけた後の検証や修正に、人手と意思決定が要る事情を説明している。同財団は報告の検証や分類にAIを使う一方、判断と修正作業は人が行うとしている。これはPHPの開発側についての説明であり、日本企業の実態を示す調査ではない。ただ、発見や報告が今後増えた場合、企業側で更新対象、判断役、作業手順が曖昧なままなら、対応待ちが積み上がりうる。サイトが動いていることを、先送りの理由にし続けるほど、その負担は重くなるかもしれない。
「後で」に日付と担当を入れる
小規模な会社でも、まず利用中のサイトや業務サービスごとに、PHP・Node.jsを使っているか、実際に動いている版は何か、誰が更新する契約なのかを確かめられる。自社で判定できなければ、管理会社に「対象のサービス」「稼働中の版」「修正の適用状況」「作業する担当」を尋ねる。アプリの更新履歴だけで土台の修正まで済んだとは判断しない。
更新が必要なら、担当者と判断期限を決め、サービスが使えるかを試す方法と、問題が出た場合の戻し方を作業前に確認する。更新後は、予定した版を入れたという記録だけで終えず、実際に動いている版も確かめたい。JPCERT/CCは、速やかな修正版の適用と侵害の有無の調査を勧めている。一時的な緩和策は更新の代わりにならず、更新しても過去に侵害がなかったかを確かめる必要は残る。
「まだ動いている」は、いま表示できているという情報にすぎない。次の通知が来たときにも判断できるよう、どの土台を誰がいつ確かめるか。今回の更新は、その問いを具体的にする機会になる。