BLOG / セキュリティ

PHP脆弱性の続報｜アップデート済みでも追加対応を推奨、session.upload_progressとは？【2026年10月】

公開日時: 2026.10.24 01:06
更新日時: 2026.10.24 02:07

PHP公式が2026年10月23日、CVE-2026-109619に関連する追加のセキュリティ情報を公開しました。修正版PHPへ更新済みの環境でも、次回の通常バグ修正版まではsession.upload_progress.enabled=0が推奨されています。設定の意味やWordPress・企業サイトへの影響、確認方法をわかりやすく解説します。

【PHP脆弱性・続報】アップデート済みでも要確認。PHP公式が追加のセキュリティ対策を案内

2026年10月24日
株式会社PieceInnovation

2026年10月21日に公表されたPHPの重大な脆弱性について、PHP公式から新たな追加情報が公開されました。

今回の最新情報で特に重要なのは、

修正版PHPへアップデートした環境でも、次回の通常バグ修正版が公開されるまでは session.upload_progress.enabled=0 に設定することが推奨された

という点です。

今回の案内は、新たに3件目の重大な脆弱性が発表されたという意味ではありません。

10月21日に公表された「CVE-2026-109619」に関連する追加の安全対策です。

つまり、

「PHPをアップデートしたから、もう何も確認しなくていい」

という状態ではなく、PHP公式から追加で推奨された設定についても確認しておく必要があります。

今回は、PHPに詳しくない企業担当者の方にも分かるように、

今回何が新しく発表されたのか
session.upload_progressとは何なのか
WordPressへの影響
すでにPHPを更新した場合はどうすればいいのか
サーバー会社や制作会社に何を確認すればいいのか

を分かりやすく解説します。

結論：今回新しく分かったこと

今回のPHP公式による追加情報を簡単にまとめると、以下のようになります。

項目	内容
10月21日	PHPに重大なRCE脆弱性2件が公表
脆弱性	CVE-2026-109618 / CVE-2026-109619
深刻度	CVSS v4.0 9.2 / Critical
基本対応	修正版PHPへのアップデート
10月23日の追加情報	`session.upload_progress.enabled=0` を一時的に推奨
いつまで？	次回の通常バグ修正版が公開されるまで
新しいCVE？	いいえ。CVE-2026-109619に関連する追加対策

つまり、

「10月21日のPHPアップデートが無意味だった」

ということではありません。

修正版PHPへのアップデートは現在も必要です。

そのうえでPHP公式が、

さらに安全性を高めるため、Session Upload Progress機能を一時的に無効にしてください

と追加案内を出した形です。

PHP公式が10月23日に追加情報を公開

PHP公式サイトでは2026年10月23日、

「Informational advisory: Session upload progress」

という追加情報が公開されました。

PHP公式は、

session.upload_progress.enabled = 0

に設定することを推奨しています。

対象期間は、次回の通常のバグ修正版が公開されるまでです。

すでに10月21日のセキュリティ勧告を確認し、この設定を無効化している場合は、その設定を維持すればよいと案内されています。

PHP公式：2026年ニュースアーカイブ・最新セキュリティ情報

`session.upload_progress`とは？

ここからは、PHPに詳しくない方にも分かるように説明します。

session.upload_progressとは、簡単に言えば、

ファイルをアップロードしている途中の進捗状況をPHPで管理するための機能

です。

例えば、大きなファイルをアップロードするときに、

アップロード中 20%
アップロード中 50%
アップロード中 80%
アップロード完了

といった進捗情報をアプリケーション側で取得するために利用されます。

PHPには、この進捗情報をセッションへ保存する機能があります。

その機能を有効・無効にするのが、

session.upload_progress.enabled

です。

一般的なPHP環境では、デフォルトで有効になっています。

つまり、

自分でこの機能を有効にした覚えがなくても、有効になっている可能性があります。

「0」にすると画像やファイルをアップロードできなくなる？

ここは非常に誤解されやすいポイントです。

session.upload_progress.enabled = 0

に設定したからといって、

PHPのファイルアップロード機能そのものがすべて使えなくなるわけではありません。

無効になるのは、

PHPセッションを利用した「アップロード進捗の追跡機能」

です。

通常のファイルアップロードとは別の機能です。

そのため、

「0にしたらWordPressへ画像をアップロードできなくなる」

という意味ではありません。

ただし、

独自Webシステム
大容量ファイルアップロードシステム
ファイル管理システム
独自PHPアプリケーション
特殊なWordPressプラグイン

などで、この機能を明示的に利用している場合は、動作に影響する可能性があります。

企業システムの場合は、設定変更前に開発会社・保守会社へ確認することをおすすめします。

なぜ今回、この機能を無効にする必要があるのか？

今回問題となっている「CVE-2026-109619」は、PHP内部で利用されるデータが、特定条件で正しく初期化されない可能性がある問題です。

非常に簡単に例えると、

前の利用者が使った作業台の情報が完全に片付かないまま、次の利用者がその作業台を使ってしまう

ようなイメージです。

本来であれば、1つのWebリクエストが終了した時点で、そのリクエスト専用の情報は正しく破棄・初期化されなければなりません。

しかし今回の脆弱性では、特定の条件で古い内部状態が残り、次のリクエストから利用されてしまう可能性があります。

その結果、

メモリ情報の漏えい
不正なメモリアクセス
リモートコード実行

などにつながる可能性があります。

CVE-2026-109619の深刻度は、

CVSS v4.0：9.2 / Critical

です。

Session Upload Progressが関係する理由

PHPには、ファイルアップロードの途中経過をセッションへ記録する仕組みがあります。

この処理は、通常のPHPアプリケーションが完全に動き始めるより前の段階で処理される場合があります。

今回のCVE-2026-109619では、この「Session Upload Progress」が、古い内部状態へアクセスしてしまう攻撃経路の一つとして確認されています。

重要なのは、

WordPressやLaravelそのものに問題があるわけではない

ということです。

今回の問題はPHP本体の内部処理にあります。

修正版PHPへ更新した人も確認が必要？

今回のPHP公式の追加情報で最も重要なのがここです。

PHP公式は10月23日、

次回の通常バグ修正版が公開されるまで

session.upload_progress.enabled = 0

にすることを推奨しています。

そのため、

PHP 8.3.36にアップデートしたから大丈夫

PHP 8.4.27だからもう確認することはない

と考えるのではなく、一度現在の設定状況を確認しておくことをおすすめします。

「10月21日の修正版が危険だった」という意味ではありません

今回の追加情報を見て、

「10月21日に公開された修正版でも脆弱性が残っていたの？」

と感じる方もいるかもしれません。

しかし、単純にそのように考えるのは適切ではありません。

今回の脆弱性についてPHP公式が案内している修正版は、現在も以下です。

PHP系列	修正版
PHP 8.5	PHP 8.5.12
PHP 8.4	PHP 8.4.27
PHP 8.3	PHP 8.3.36
PHP 8.2	PHP 8.2.35

現在の対応としては、

1. 修正版PHPへアップデート

そのうえで、

2. `session.upload_progress.enabled=0` を追加で確認

という考え方になります。

まだPHPを更新していない場合

注意したいのは、

session.upload_progress.enabled = 0

だけ設定すれば今回の問題への対応が完了するわけではないことです。

今回の重大なPHP脆弱性について、基本となる対策は修正版PHPへのアップデートです。

そのため、

「設定を0にしたから大丈夫」

と判断せず、PHP自体の更新状況も確認してください。

今回確認したいPHPバージョン

2026年10月24日時点で、今回の重大な脆弱性に対応したPHPは以下です。

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

ただし、Linuxディストリビューションやレンタルサーバー会社によっては、バージョン番号を変更せず、必要なセキュリティ修正だけを適用している場合があります。

そのため、

バージョン番号だけを見て「安全」「危険」と判断しないこと

が重要です。

WordPressサイトはどう確認すればいい？

WordPressを利用している場合は、まず現在のPHPバージョンを確認してください。

WordPress管理画面から、

「ツール」
↓
「サイトヘルス」
↓
「情報」
↓
「サーバー」

と進みます。

そこにPHPバージョンが表示されています。

ただし先ほど説明した通り、サーバー会社によっては古いバージョン番号のままセキュリティ修正を適用している場合があります。

そのため、

WordPress管理画面に表示されるPHPバージョンだけではなく、サーバー会社の公式情報も確認してください。

WordPress自体の脆弱性ではありません

今回の問題は、WordPress本体の脆弱性ではありません。

WordPressを動かしているPHP本体の問題です。

そのため、

WordPress本体を更新
プラグインを更新
テーマを更新
管理者パスワードを変更

しただけでは、今回のPHP脆弱性への根本対応にはなりません。

まずPHP環境が適切に更新・設定されているかを確認してください。

XServerやお名前.comなどのレンタルサーバーの場合

レンタルサーバーを利用している場合、PHP本体を利用者自身で管理していないケースが多くあります。

その場合は、サーバー会社の公式情報を確認してください。

特に確認したいのは、

CVE-2026-109618への対応状況
CVE-2026-109619への対応状況
PHP修正パッチの適用状況
session.upload_progress.enabled の設定状況
利用者側で追加設定が必要か

です。

サーバー会社によって対応方法が異なる可能性があります。

分からない場合は、サーバー会社や制作会社へ問い合わせるのがおすすめです。

AWS・VPS・自社サーバーの場合

AWS EC2やVPS、専用サーバーなどでPHPを自社管理している場合は、レンタルサーバーより確認項目が多くなります。

最低限、

PHPの実際のバージョン
CVEへのパッチ適用状況
PHP-FPM / Apacheなどの構成
session.upload_progress.enabled
PHPワーカーの再起動状況
WAFの設定
アクセスログ
不審なファイル変更

などを確認してください。

特にPHP-FPMでは、設定変更後にワーカープロセスへ設定が反映されているか確認する必要があります。

PHPコードの中で変更するだけでは不十分

今回の対策では、設定する場所も重要です。

例えばPHPコード内で、

ini_set('session.upload_progress.enabled', '0');

と設定するだけでは、今回の問題への対策として適切ではありません。

Session Upload Progressは通常のPHPアプリケーションコードが動くより前に処理される可能性があるためです。

そのため、

php.ini
PHP-FPMのプール設定
Webサーバー設定

など、リクエスト解析より前に適用される場所で設定する必要があります。

分からない場合は、自分で設定ファイルを書き換えず、サーバー管理者や保守会社へ確認してください。

企業担当者は管理会社に何を聞けばいい？

技術的な内容が分からない場合は、以下の文章をそのまま管理会社・制作会社へ送っても問題ありません。

2026年10月21日に公表されたPHPのCVE-2026-109618、CVE-2026-109619について、当社サイトの対応状況をご確認ください。

また、PHP公式から追加で案内されている session.upload_progress.enabled=0 についても、現在の設定状況と追加対応の必要性をご確認ください。

あわせて、現在利用しているPHPバージョン、修正パッチの適用状況、PHP-FPM等への設定反映状況についてもご共有ください。

これだけでも、今回必要な確認事項をかなり整理できます。

今回の追加情報から分かること

今回のPHP脆弱性では、

10月21日に重大な脆弱性が公表
PHPの修正版が公開
サーバー会社やクラウド事業者が対応
その後も調査が継続
PHP公式から追加の安全対策が案内

という流れになっています。

ここから分かるのは、

セキュリティ対応は「1回アップデートして終わり」とは限らない

ということです。

重大な脆弱性の場合、公開後の調査によって追加情報や新しい推奨設定が公開されることがあります。

企業サイトを安全に運用するためには、

最新の脆弱性情報を確認
サーバー会社の情報を確認
必要なアップデートを実施
追加情報を追跡
ログを確認
バックアップを維持

といった継続的な管理が必要です。

「すでに対応済み」の企業こそ再確認を

今回特に確認していただきたいのは、

10月21日〜23日の間にPHPをアップデートして「対応完了」としている企業

です。

PHPをアップデートしたこと自体は非常に重要な対応です。

しかし、今回PHP公式から追加情報が公開されたため、

session.upload_progress.enabled

の設定について、もう一度確認しておくことをおすすめします。

すでに、

session.upload_progress.enabled = 0

に設定済みの場合は、その設定を維持します。

PieceInnovationではPHPの最新情報を継続的に確認しています

株式会社PieceInnovationでは、今回のPHP重大脆弱性について、発表当初からPHP公式やサーバー会社、クラウド事業者などの情報を継続的に確認しています。

今回のように、

発表後に追加のセキュリティ情報が公開された場合についても、随時情報を発信していきます。

例えば、

自社サイトが今回の対象か分からない
PHPを更新したが本当に対応完了しているか分からない
WordPressを利用しているがPHPについて分からない
XServerやお名前.comの対応状況を確認したい
AWSやVPSを利用している
制作会社から対応完了と言われたが追加設定も確認したい
自社サイトを誰が保守しているか分からない

といった企業様はお気軽にご相談ください。

現在のWebサイト・サーバー構成を確認し、必要な対応を整理いたします。

今回のPHP重大脆弱性については、これまでの記事もあわせてご覧ください。

第1回｜PHPに重大な脆弱性。CVSS9.2の危険性と企業サイトへの影響

2026年10月21日に公表された2件の重大なPHP脆弱性について、危険性や企業が取るべき初動対応を解説しています。

PHPに重大な脆弱性｜CVSS9.2の危険性と企業サイトの対応方法

第2回｜WordPressのPHPバージョンを確認する方法

WordPress利用企業向けに、PHPバージョンの確認方法やレンタルサーバー利用時の注意点を解説しています。

WordPressのPHPバージョン確認方法｜重大脆弱性への対応

参考情報

※本記事は2026年10月24日時点でPHP公式などから公開されている情報をもとに作成しています。今後、新しいPHPバージョンや追加のセキュリティ情報が公開される可能性があります。実際の設定変更・アップデート時には、必ずPHP公式および利用しているサーバー事業者の最新情報をご確認ください。

← ブログ一覧へ戻る

PHP脆弱性の続報｜アップデート済みでも追加対応を推奨、session.upload_progressとは？【2026年10月】

【PHP脆弱性・続報】アップデート済みでも要確認。PHP公式が追加のセキュリティ対策を案内

結論：今回新しく分かったこと

PHP公式が10月23日に追加情報を公開

session.upload_progressとは？

「0」にすると画像やファイルをアップロードできなくなる？

なぜ今回、この機能を無効にする必要があるのか？

Session Upload Progressが関係する理由

修正版PHPへ更新した人も確認が必要？

「10月21日の修正版が危険だった」という意味ではありません

1. 修正版PHPへアップデート

2. session.upload_progress.enabled=0 を追加で確認

まだPHPを更新していない場合

今回確認したいPHPバージョン

WordPressサイトはどう確認すればいい？

WordPress自体の脆弱性ではありません

XServerやお名前.comなどのレンタルサーバーの場合

AWS・VPS・自社サーバーの場合

PHPコードの中で変更するだけでは不十分

企業担当者は管理会社に何を聞けばいい？

今回の追加情報から分かること

「すでに対応済み」の企業こそ再確認を

PieceInnovationではPHPの最新情報を継続的に確認しています

関連記事

第1回｜PHPに重大な脆弱性。CVSS9.2の危険性と企業サイトへの影響

第2回｜WordPressのPHPバージョンを確認する方法

参考情報

関連記事

お名前.comでサイバー攻撃｜最大26,739サーバーに影響の可能性、企業が今すぐ見直すべき対策【2026年10月】

【続報】PHP重大脆弱性の公表から約40時間。攻撃試行はすでに始まっていた｜AWS・XServer・お名前.comの最新対応状況

WordPressのPHPバージョン確認方法｜重大脆弱性CVSS9.2への対応を解説

`session.upload_progress`とは？

2. `session.upload_progress.enabled=0` を追加で確認