セキュリティ対応
PHPの重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応を完了しました
2026年10月21日（日本時間22日未明）にPHPの開発元から公開された、重大なセキュリティ脆弱性2件の修正をLタグに適用しました。修正は公開から約3時間後に本番環境へ反映済みです。お客様側で必要な操作はありません。
リリース日 2026年10月22日
脆弱性について
PHPは、Lタグを含む世界中の多くのWebサービスで使われているプログラミング言語です。今回公開された2件の脆弱性（CVE-2026-109618 / CVE-2026-109619）は、ログインしていない第三者が細工した通信を送るだけでサーバー上で任意のプログラムを実行できてしまう可能性があるもので、深刻度は最も高い区分（CVSS 9.2）とされています。
公開直後から攻撃の試行が観測されているとの報告があり、日本でもIPA（情報処理推進機構）が注意喚起を行っています。PHPを利用するWebサービス全般が対象となるため、国内でも多くの事業者が対応を進めています。
対応内容
- Lタグが動作するPHPを、修正版に更新しました。
- あわせて、今回の脆弱性の攻撃経路として確認されている機能のうち、Lタグが利用していない2つのPHP設定を無効化し、多層的に防御しています。
- 対応は2026年10月22日 午前2時ごろ（日本時間）に本番環境へ反映され、Lタグのすべてのお客様に適用されています。
- 対応にともなうサービスの停止や、機能・画面の変更はありません。
お客様にお願いしたいこと
Lタグ
お客様側で必要な操作や設定変更はありません。これまでどおりご利用いただけます。
その他のサイト
Lタグ以外にPHPを利用したWebサイト（自社サイトやWordPressなど）をお持ちの場合は、各サービスの提供元やサーバー管理者の案内に従い、修正版への更新をご確認ください。修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。
PHP 8.1以前には公式の修正版が提供されていません。該当するバージョンをお使いのサイトがある場合は、サーバー管理者へ早めにご相談ください。