PHPセキュリティ警告：ホームサーバーやNASの所有者が知っておくべきこと

ホームサーバーやNASでPHPベースのアプリケーションを稼働させている場合は、各アプリが実際に使用しているランタイムを特定し、ベンダーがサポートするセキュリティアップデートを適用してください。重大なPHPの脆弱性が公表された場合、影響を受ける環境では対応が必要です。ハードウェアを所有していても、アプリケーションやコンテナ内のソフトウェアが自動的に更新されるわけではありません。

復元可能なアプリケーションデータと設定を保持したうえで、正しいパッケージまたはイメージを更新し、置き換え後のサービスが正常に動作することを確認してください。影響を受けるブランチやバックポートされた修正を確認するには、ホストのコマンドライン版PHPだけに頼らず、メンテナーまたはディストリビューションの勧告を参照してください。

PHPのセキュリティインシデントでは何が起きましたか？

PHPプロジェクトは2026年10月21日にセキュリティアップデートを公開しました。リリースのお知らせと2件のランタイム勧告では、リモートコード実行につながる可能性のある脆弱性が説明されています。深刻度を考えると、利用者が数人しかいない小規模なホーム環境でも確認する価値があります。

• CVE-2026-109618は、メモリ不足への対処によってリクエスト処理が中断された後に、不正なメモリ状態が発生する問題です。
• CVE-2026-109619は、基盤となるメモリが解放された後もリクエスト関連の状態が保持され、その後ワーカーによってアクセスされる問題です。

これらはランタイムの問題です。テーマを更新したり、アプリケーションのプラグインをインストールしたりしても、基盤となるPHPが修正された証拠にはなりません。セキュリティ勧告ではサーバーインターフェースと構成が区別されているため、すべてのデプロイメントで同じように悪用可能だと考えるべきではありません。

修正が含まれているPHPリリースはどれですか？

PHPが発表した緊急リリースは次のとおりです：

同じサポート対象ブランチのこれらのリリース、またはそれ以降の互換性のあるリリースを使用してください。ディストリビューションのベンダーは、古く見えるバージョン文字列を維持したまま修正をバックポートすることがあります。その場合は、インストール済みのパッケージをベンダーのセキュリティ告知と照合してください。サポート終了済みのブランチを使用している場合は、サポート対象のランタイムに移行するか、ベンダーが修正を継続して提供していることを明確に確認してください。サポート対象外のインストールが保護されていると思い込まないでください。

お使いのNASやホームサーバーにも影響しますか？

まず、アプリケーションの一覧を作成します。WordPressサイト、Nextcloudのデプロイメント、その他のPHPベースのツールは調査する価値があります。ただし、名前だけでは、現在のインストールが脆弱だとは証明できません。パッケージまたはコンテナに含まれる実際のランタイムを確認してください。逆に、同じデバイス上で稼働しているというだけで、PHP以外のアプリケーションを影響対象とみなすべきではありません。

関連する各サービスについて、3つの境界を確認します：

• 到達可能性：ルーターのポート転送、パブリックIPv6、リバースプロキシ、トンネル、アクセス制御。
• 実行環境：PHPサービス、コンテナイメージ、パッケージの提供元、稼働中のワーカー。
• 権限: 書き込み可能なストレージマウント、データベースアクセス、シークレット、管理者権限。

このマップは、更新の優先順位を決め、アプリケーションが侵害された場合に起こり得る影響を把握するのに役立ちます。公開リクエストをPHPに転送するリバースプロキシを使っても、公開状態が自動的に解消されるわけではありません。適切に設定されたVPN経由のみのアクセスにすれば、外部からの到達性を下げられますが、脆弱なランタイムが修正されるわけではありません。

所有者はまず何をすべきですか？

1. 直ちに修正を適用できない場合はアクセスを制限する

CERT-EUは直ちにパッチを適用することを推奨し、それが実行できない場合は、インターネットに公開されたアプリケーションの隔離を検討するよう勧めています。ポートフォワーディングを削除しただけで完全に隔離できたと判断する前に、トンネルやIPv6を含む、アプリケーションへのすべての経路を確認してください。信頼できるメンテナンス用のアクセス経路を確保してください。

2. 復旧手段を確保する

アプリケーションスタックを変更する前に、設定、永続データ、一貫性のあるデータベースバックアップを保全してください。現在のイメージタグまたはパッケージのバージョンを記録してください。Webアプリケーションから上書きできない独立したバックアップを保管してください。スナップショットやRAIDアレイがあるだけでは、アプリケーションレベルの侵害から復旧できるとは限りません。

3. 実際にPHPを含むコンポーネントを更新する

ベンダー管理のNASパッケージの場合は、パッケージメンテナーの勧告に従ってください。コンテナでデプロイしている場合は、パッチ適用済みのアプリケーションイメージを入手するか、修正済みのPHPベースイメージを使ってカスタムイメージを再ビルドし、ドキュメントに記載されたボリュームを保持したまま影響を受けるサービスを再作成してください。ホストを更新しても、コンテナ内のPHPが更新されるとは限りません。古いコンテナを再起動しても、新しいイメージはインストールされません。

Google Cloudの対応ガイダンスも、パッチ適用済みランタイムで顧客管理のコンテナイメージを再ビルドし、再デプロイすることを強調しています。将来のインストール用テンプレートを更新するだけでなく、そのイメージを使用するすべてのデプロイを確認してください。

4. 実行中のサービスを確認する

ターミナルでのバージョン確認は手がかりになりますが、コマンドラインのバイナリはWebワーカーと異なる場合があります。関連する各コンテナやサービス内でランタイムを確認し、古いワーカーが置き換えられていることを確かめてください。公開診断ページをオンラインにしたままにしないでください。その後、通常のアプリケーション機能を使って、ログイン、アップロード、バックグラウンドタスク、ファイルアクセスをテストしてください。

Laravel Forgeの勧告では、長時間実行されるプロセスについても注意を促しています。パッケージの更新に成功しても、すでにPHPを実行しているすべてのプロセスが置き換わるわけではありません。アプリケーションの手順書に記載された再起動手順に従ってください。

ZimaCube 2のパーソナルクラウドには、どのような影響がありますか？

ZimaCube 2は、プライベートストレージやセルフホストのワークロードを実行するためのプラットフォームです。アプリケーションの実行に使用する場合は、アプリのアップデート、ネットワークアクセス、ストレージ権限も、パーソナルクラウドの運用の一環として管理してください。

この記事は、ZimaOSまたは特定のZimaCube 2環境が影響を受けると断定するものではありません。インストール済みの各アプリとそのランタイムを確認してください。ハードウェアの拡張やストレージ容量は、ソフトウェアのパッチ適用状況とは別のものです。

各アプリに必要なフォルダーと権限だけを与え、アップデート元を記録し、アプリから書き込みできない場所に復旧用のコピーを保管することは、有効な運用方法です。そうすれば、デバイス上のすべてのサービスを中断せずに、今後のセキュリティ通知を判断しやすくなります。

よくある質問

パスワードを変更すれば、こうしたPHPの脆弱性を修正できますか？

いいえ。パッチ適用済みのランタイムをインストールしてください。パスワードの変更はインシデントからの復旧に含まれる場合がありますが、PHPのアップデートの代わりにはなりません。

LAN内だけで使うPHPアプリなら、放置しても安全ですか？

いいえ。到達可能な範囲を制限すれば、外部への露出は減りますが、そのネットワーク上のほかのデバイスやユーザーからアクセスされる可能性は残ります。サポート対象のソフトウェアにはパッチを適用してください。

パッチをインストールすれば、サーバーが侵害されたことがないと証明できますか？

いいえ。パッチ適用は、今後の脆弱性に対処するものです。侵入が疑われる場合は、サービスを隔離して関連ログを保全し、アクセスを再開する前に調査してください。信頼できるシステムから、外部にさらされた認証情報を確認し、必要に応じて信頼できるイメージから再構築してください。

直ちに優先すべきこと：PHPを使用するサービスを特定し、不要なアクセスを制限したうえで、該当するベンダー修正を適用し、実際のリクエストを処理しているランタイムを確認します。

情報源とアップデートの対象範囲

2026年10月22日確認。これは防御のための概要であり、侵害の確認や特定製品の脆弱性通知ではありません。調査の進展に伴い、ベンダーの勧告内容が変更される場合があります。

• PHPのリリース情報
• PHP：メモリ不足による破損に関する勧告
• PHP：グローバル状態の残存に関する勧告
• CERT-EUセキュリティ勧告2026-018
• Google Cloudの対応ガイダンス
• Laravel ForgeのPHPセキュリティ勧告