技術基盤に関する重要な脆弱性が発表されたときの対処手順（PHP, Node.js 等）

2026年10月20日から21日にかけて、Webシステムを支える主要な実行基盤であるPHP、Node.js、Apache Tomcatで重要なセキュリティ脆弱性の修正版が相次いで公開されました。

これらはいずれも、Webアプリケーションのプログラムそのものではなく、プログラムを動かす土台となるサーバー実行環境（ランタイム）の脆弱性です。WordPressやLaravel、Next.jsといったフレームワークやライブラリを更新するだけでは解消しません。サーバー本体やコンテナイメージの実行環境そのものを更新する必要があります。

脆弱性の名称や報道に過度に混乱することなく、自社の稼働環境を特定して安全に対処するための手順を整理します。

最初に本番環境の稼働バージョンを把握する

開発者の手元PCのバージョンだけでなく、実際に稼働している以下の環境を確認します。

• 本番サーバーおよびステージング環境のサーバー
• デプロイ済みのコンテナイメージ（Dockerなど）
• CI/CDパイプラインがビルドやテストで利用している実行環境
• クラウドやホスティング事業者が管理しているマネージド実行環境

それぞれのバージョンは、PHPなら php -v、Node.jsなら node -v、Tomcatなら付属の管理ツールやログで確認できます。外部の委託先やホスティング事業者に確認する場合は「Webアプリの更新日」ではなく、「サーバー実行環境の正確なバージョンと修正の適用予定日」を問い合わせてください。

1. PHP：遠隔コード実行の恐れがあるため最優先でバージョンアップを実施

PHPプロジェクトは2026年10月21日、認証なしでサーバー上で悪意あるプログラムを遠隔実行される危険性（RCE）がある脆弱性2件（CVE-2026-109618、CVE-2026-109619）の修正版を公開しました。深刻度評価CVSS v4.0で9.2と極めて高く、一部報道では「PHP2Shell」とも呼ばれています。

修正バージョン一覧

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Webリクエストを直接処理する環境全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど）が対象です。公式アドバイザリでは、設定変更による回避策は一時的な露出軽減に過ぎず、本体のバージョンアップのみが完全な対策であると明記されています。

すでに海外のセキュリティ機関（ニュージーランドNCSCなど）が悪用の兆候を報告しています。インターネットに公開されているWebサーバーを最優先にバージョンアップし、反映後にWebサーバーやPHP-FPMのプロセスを再起動して新しいバージョンが実際に稼働していることを確認してください。

なお、PHP 8.2は2026年12月31日に公式サポートが終了するため、今回の8.2.35が最後のセキュリティ修正となります。PHP 8.1以前を使用している場合は、公式修正版が提供されないため、サポート中のバージョンへの移行計画を直ちに進める必要があります。

2. Node.js：主要3系統で修正版がリリース

Node.jsプロジェクトも10月21日、サポート対象である26.x、24.x、22.xの各系統に向けたセキュリティリリースを公開しました。最高深刻度はHighで、計10件の脆弱性が修正されています。

主な修正点として、Brotli解凍処理におけるメモリ破壊による遠隔コード実行の脆弱性（CVE-2026-111497）や、DNS処理・TLS証明書の検証不備などが含まれます。

修正バージョン一覧

• Node.js 26.12.1
• Node.js 24.22.1
• Node.js 22.23.4

コンテナを利用している場合は、Dockerfileの指定を更新してイメージを再ビルドし、本番環境のコンテナを新しいイメージに差し替えて再起動します。ソースコード管理上のバージョン指定だけを変更し、本番の稼働プロセスが古いまま放置されないよう注意してください。

なお、Node.js 20系は2026年4月で公式サポートを終了しているため、今回の修正版は提供されません。サポート終了済みの系統を使用している場合は、現行のLTS系統への移行が必要です。

3. Apache Tomcat：認証回避などの脆弱性を修正

Apache Tomcatは10月20日、現行バージョンにおける脆弱性の公表と修正版の提供を行いました。

修正バージョン一覧

• Tomcat 11.0.27
• Tomcat 10.1.61
• Tomcat 9.0.123

主な修正として、特定の認証設定（JNDIRealm）を利用している環境で正規のパスワードなしで認証を突破できてしまう脆弱性（CVE-2026-101296）や、HTTP/2処理のエラー時に異なる利用者のリクエストや応答が混ざってしまう不具合（CVE-2026-101356）などが含まれます。

Tomcatの修正は個別パッチではなくバージョン全体として提供されるため、利用中の系列に対応する最新バージョンへ更新し、サービスを再起動してください。Tomcat 8以前はすでにサポートが終了しています。

対応優先順位

1. 本番およびステージング環境で稼働しているPHP、Node.js、Tomcatの正確なバージョンを一覧化する
2. 外部に公開されているPHPサーバーを最優先で修正バージョンへ更新し、プロセスの再起動とバージョン確認を行う
3. Node.jsの稼働コンテナやサーバープロセスを最新バージョンへ差し替えて再起動する
4. Tomcatを各系列の修正バージョンへ更新して再起動する
5. 外部委託先やマネージドホスティングを利用している場合は、各実行環境のバージョンと更新適用スケジュールを確認する

前回の記事「漏えいのニュースが続いているとき、先に分けて確認すること」でも触れたとおり、セキュリティ対応で問われるのは「自社で利用している基盤ソフトウェアの更新責任と確認体制が明確になっているか」です。フレームワークだけでなく、土台となる実行環境の管理状況をこの機会に点検してください。

生成AIの導入活用支援では、業務システムやクラウド環境を安全に運用するための技術相談や体制づくりも支援しています。

参照

この記事は、2026年10月23日時点の各プロジェクトの公式発表に基づきます。

• PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
• Node.js「Wednesday, October 21, 2026 Security Releases」（2026年10月21日）
• Node.js Release schedule
• Apache Tomcat 11 vulnerabilities（11.0.27、2026年10月12日修正、10月20日公表）
• Apache Tomcat 10 vulnerabilities（10.1.61）
• Apache Tomcat 9 vulnerabilities（9.0.123）
• NCSC New Zealand「CVE-2026-109618 and CVE-2026-109619 affecting PHP」（2026年10月22日更新）