クマひよ工房PHPのセキュリティ更新（2026年10月21日）｜EC-CUBEのサイトが当てはまるかと、今できること
2026年10月20日、PHP（EC-CUBEを動かしているプログラムの言語）の開発チームが、セキュリティの修正版を出すと予告しました。直すのは2件の脆弱性（悪用されるおそれのある弱点）です。
どのバージョンが当てはまるかは、修正版と同時に公表されます。この記事では、PHPの5系から8系まで、どのバージョンも当てはまるものとして、自社サーバ（VPSなど）とレンタルサーバに分けてまとめます。2026年10月21日時点の情報で、詳細が公表されたら更新します。
何が起きたか
PHPの開発チームは、日本時間の2026年10月21日（水）23時に修正版を出すとしています。2件の脆弱性は、どちらもCVSS v4.0で9.2と評価されています。CVSSは、脆弱性の大きさを0〜10で表す共通の物差しで、9.0以上はいちばん高い区分にあたります。
脆弱性の詳細が先に公になったときや、悪用が確認されたときは、予告より早く出すことがあるとしています。どんな攻撃で何をされるのかは、まだ公表されていません。
自社サーバ（VPSなど）の場合
PHPの修正版を入れるのは、サーバを管理している側（自社、またはサーバの管理の委託先）です。修正版が出ても、入れるまでは直りません。
レンタルサーバの場合
PHPを入れ替えるのはサーバ会社で、利用者がPHPそのものを直すことはできません。それでも、どのバージョンのPHPを使うかを選ぶことや、サーバ会社の対応を確かめることはできます。
自分のサイトが当てはまるか
この記事では、PHPの5系から8系まで、どのバージョンも当てはまるものとしています。確かめるのは、使っているPHPに修正版が出るかどうかです。
- 8.2、8.3、8.4、8.5 - PHPの開発チームから修正版が出る見込みです。8.2のサポートは、2026年12月31日で終わります。
- 8.1以前（8.1、8.0、7系、5系） - サポートが終わっているため、PHPの開発チームからは修正版が出ません。
サイトで実際に動いているPHPのバージョンは、EC-CUBEの管理画面で確かめられます。
- 4系 - 設定 > システム設定 > システム情報
- 3系 - 設定 > システム情報設定 > システム情報
- 2系 - システム設定 > システム情報
自社サーバ（VPSなど）の場合
サーバ上で php -v を実行して出るバージョンが、管理画面と違うことがあります。サイト用とコマンド用で、別のPHPが入っていることがあるためです。どちらも当てはまります。
あわせて、PHPをどこから入れたかを確かめます。修正版の入れ方と、8.1以前でも修正が届くかが変わります。
- OSの標準のパッケージ - OSの提供元が、古いバージョンのPHPにも修正を移して配ることがあります。この場合、バージョンの番号は変わらないまま直るため、OSの提供元のセキュリティ情報で確かめます。
- OSの標準以外の配布元 - 配布元によって、修正を出すバージョンと時期が違います。配布元のお知らせで確かめます。
- ソースから自分で入れた - 修正版のソースから入れ直します。8.1以前には、修正版のソースが出ません。
レンタルサーバの場合
コントロールパネルの、PHPのバージョンの設定でも確かめられます。ドメインやフォルダごとに別のバージョンを選べるサーバもあるため、EC-CUBEを置いている場所の設定を見ます。
8.2以降を使っている場合は、サーバ会社が修正版に入れ替えるのを待つことになります。8.1以前を使っている場合、サーバ会社が独自に直すかどうかは会社によって違うため、サーバ会社のお知らせで確かめます。
今できること
修正版が出る前に（共通）
サイトのファイルとデータベースの両方のバックアップを取っておきます。修正版を入れたり、PHPのバージョンを切り替えたりして動かなくなったときに、戻せるようにするためです。
8.1以前を使っている場合、修正版が出るバージョンへ上げられるかは、EC-CUBEのバージョンで決まります。開発元が示す動作環境のPHPは、次のとおりです。
- 2.25 - 7.4.33以上。2.25.0で開発元が動作を試しているのは、8.4まで
- 3系（3.0） - 5.3.9〜7.1
- 4.0、4.1 - 7.4まで
- 4.2 - 7.4〜8.1
- 4.3 - 8.1〜8.3
修正版が出る8.2以降での動作が開発元から示されているのは、2.25と4.3です。2.25は、2.13をPHPの7と8に対応させたもので、2.25より前の2系を使っている場合は、2.25への更新が上げ先の1つになります。ただし、入れているプラグインやカスタマイズによっては、あわせて改修が要ります。
3系と、4.2以前の4系は、そのままでは8.2以降で動かせません。EC-CUBEの改修や、新しいバージョンへの移行が必要になります。その進め方は、サポート終了への対応でまとめています。
自社サーバ（VPSなど）の場合
修正版が出る前に
- 誰が、いつ、どうやって修正版を入れるかを決めておきます。修正版は日本時間の23時に出ます。OSのパッケージは、それより遅れて届くことがあります。
- 修正版を入れたあとに試すことを決めておきます。たとえば、トップと商品ページの表示、カートへの追加、注文の完了、注文メールの受け取り、管理画面へのログインです。
- テスト用の環境があれば、先にそちらで試します。
修正版が出たあとに
- PHP公式の発表で、当てはまるバージョンと、修正版の番号を確かめます。
- PHPを入れた方法に合わせて、修正版を入れます。
- PHPを動かしているプログラム（PHP-FPMやApacheなど）を再起動します。修正版を入れただけでは、動いているPHPは古いままのことがあります。
- 管理画面のシステム情報でバージョンを確かめ、決めておいたことを試します。
8.1以前で、OSの提供元からも修正が届かないとき
PHPを、修正版が出るバージョンへ上げることを考えます。上に挙げたとおり、EC-CUBEのバージョンによっては、EC-CUBEの改修や移行が先に要ります。
レンタルサーバの場合
修正版が出る前に
- コントロールパネルのバックアップ機能を使うか、ご自分でファイルとデータベースを取っておきます。
- サーバ会社のお知らせ（メンテナンス情報や障害情報）のページを確かめておきます。
修正版が出たあとに
サーバ会社のお知らせで、修正版に入れ替えたかと、その日時を確かめます。お知らせが見つからないときは、サーバ会社に次のことを問い合わせます。
- 使っているPHPのバージョンに、今回の修正が入るか
- 入るなら、いつか
- 8.1以前を使っている場合、どう扱われるか
8.1以前を使っていて、修正が入らないとき
コントロールパネルで、修正が入るバージョンへ切り替えることを考えます。ただし、EC-CUBEが動かなくなることがあります。
- 切り替える前に、バックアップを取ります。
- 切り替えたら、注文の完了や管理画面へのログインなどを試します。
- 動かなければ、元のバージョンに戻します。
EC-CUBEの動作環境より新しいバージョンへは、改修をせずに切り替えないでください。
WAFを有効にする
多くのレンタルサーバでは、コントロールパネルから、WAF（サイトへの攻撃を見分けて止める仕組み）を有効にできます。今回の脆弱性を突く攻撃を止められるかは、詳細が公表されるまで分かりません。PHPの修正の代わりにはならないため、修正が入るまでの備えの1つと考えてください。
WAFを有効にすると、管理画面での保存などが攻撃と見分けられ、止められることがあります。有効にしたら、管理画面の操作も試します。
見覚えのないファイルに気づいたら（共通）
見覚えのないファイルや管理者アカウントに気づいたときは、削除する前にご相談ください。調査の手がかりが消えてしまうことがあります。
相談先
PHPに修正が入るかは、自社サーバならOSの提供元のセキュリティ情報やサーバの管理の委託先、レンタルサーバならサーバ会社のサポートで確かめられます。EC-CUBEが新しいPHPで動くか、修正版を入れたあとの確認、PHPを上げるための改修は、セキュリティの対応とサポート終了への対応でご相談を承っています。