回答: 2026年10月21日に修正版が公開されたPHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）について、PHPそのものの更新は、多くの会社ではサーバ会社やシステムの提供元の作業になります。不動産会社が自社でやることは2つです。自社サイトのPHPが修正済みかを確認することと、対策の影響で問い合わせフォームが止まっていないかを、テスト送信で最後まで確認することです。後者が本題です。PHPの開発元が示した応急処置には、ファイル添付などに使う送信形式（multipart/form-data）を拒否する方法や、受け付ける送信サイズを小さくする方法が含まれます。開発元は送信形式の拒否を「その形式を使わないアプリケーション向け」の対策としていますが、添付つきのフォームがあるサイトに条件を確かめずに入ると、サイトは正常に表示されたまま、反響だけが届かなくなる状態が起こり得ます。当てはまるのは自社ホームページから反響を受けている会社です。ホームページをポータル各社の提供サービスだけで運用している場合、自社でPHPを更新する作業は発生しませんが、フォームの通し確認は同じようにやる意味があります。
この記事でわかること
- 今回のPHPの脆弱性で、不動産会社の自社サイトが影響を受けるのはどういう場合か
- なぜ「対策すると反響フォームが止まる」ことがあるのか、何が止まって何が止まらないのか
- サイトが正常に見えているときに、反響が届いているかをどう確認するか（5項目）
- CRMや業務システムについて、誰に何を確認すればいいか（確認依頼の文例つき）
今回の脆弱性は何が問題なのか
答え: ホームページを動かしている「PHP」というプログラムそのものに欠陥が見つかり、条件がそろうと外部からログインなしで悪用され得る状態でした。自社サイトの作り方や運用の良し悪しとは関係なく、PHPで動いているサイトが対象になります。
PHP公式の発表（PHP公式のセキュリティアドバイザリ）と、開発元のGitHub上の技術情報で確認できる範囲を整理します。
- 2026年10月21日、PHPの開発元が修正版を公開した。対象の脆弱性は CVE-2026-109618 と CVE-2026-109619 の2件で、いずれも認証（ログイン）なしでサーバ上でプログラムを実行され得るもの
- 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。PHP 8.1以前は開発元からの通常の更新が終わっている。今回は深刻度を踏まえ、7.4・8.0・8.1向けに最小限のソースコード修正だけが別途提供された
- 深刻度は CVSS v4.0 で 9.2（最大10、区分は Critical）。公開前に「10.0」という誤った値が出回ったが、開発元は実際の値は9.2としている（PHP Foundationの解説、技術情報は GHSA-w8hw-w9fx-j79w / GHSA-6wmf-4rv5-p3rp）
- 開発元は、Apache の mod_php という構成をもっともリスクが高いとし、PHP-FPM など他の動かし方も対象としている
- セキュリティ企業の中には、公開後に悪用の動きを観測したと報告しているところもある（Sophosの勧告）
- 国内では10月21日の午後から夜にかけて、業務ツール・ゲーム・通販・自治体サイトなどで緊急メンテナンスの告知が相次いだと報じられている（ITmedia、日経クロステック）
最後の点について、報道では、メンテナンスを予防的な措置と説明している会社が多く紹介されています。被害が確認されたから止めたのではなく、修正版の公開を見越して先に止めた会社が多かったと読めます。
不動産会社に関係してくるのは、自社ホームページがPHPで動いている場合です。WordPressで作られたサイトはPHPで動いています。今回はPHP本体の問題なので、WordPressやプラグインを最新にしても解決しません。自社サイトが何で作られているか分からない場合は、制作会社に聞くのが早いです。
なぜ「対策すると反響フォームが止まる」のか
答え: 修正版へすぐ入れ替えられない場合の応急処置に、「multipart/form-data という形式の送信をPHPに届く前に拒否する」「受け付ける送信のサイズを小さくする」といった方法が含まれているためです。この形式は、ファイル添付のあるフォーム送信で使われる形式です。
開発元の技術情報は、multipart/form-data の拒否を「その形式を使わないアプリケーションの場合」の対策として挙げています。Sophosの勧告も「アップロードを受け付けないアプリケーションの場合」と条件をつけています。ところが不動産会社のサイトには、この形式を使う導線が普通にあります。
- 査定依頼フォームで、図面や登記の写しを添付してもらう
- 「物件資料をご希望の方はこちら」で資料請求を受ける
- 問い合わせフォームに任意の添付欄がある
条件を確かめずに応急処置がサイト全体に入ると、ここが通らなくなる可能性があります。multipart/form-data の送信を拒否した場合に、止まるもの・止まらないものを整理します。
| multipart/form-data を拒否した場合の影響 | |
|---|---|
| サイトの表示・物件ページの閲覧 | 止まらない |
| 添付なしのフォーム送信 | フォームの作り方によって、止まる場合がある（添付欄がなくてもこの形式で送るフォームがある） |
| 添付ありのフォーム送信 | 止まる |
| WordPress管理画面からの画像アップロード | 止まる |
| CRMに入っている既存の反響データ | 影響なし |
拒否まではしなくても、送信サイズの上限を小さくする応急処置（開発元の目安は、アップロードが不要なら8MB、必要なら32MB）が入ると、大きな添付ファイルだけが送れなくなることがあります。
厄介なのは、この間もサイトは何も問題なく表示されることです。トップページも物件ページも開きます。管理画面にも入れます。気づくきっかけが、反響の件数が減ったことくらいしかない場合があります。
「サイトは表示されています」という確認で終わってしまうと、気づけるのは週明けの数字を見たときになりかねません。
今日確認する5項目
答え: 見るのは「対策が入ったか」ではなく「反響が届いているか」です。送信完了画面が出ることと、担当者に届くことは別です。
1. 自社サイトのPHPが修正済みかを確認する
WordPressの場合は、管理画面の ツール → サイトヘルス → 情報 → サーバー にPHPのバージョンが出ます。判断は系列ごとです。8.5系なら8.5.12以降、8.4系なら8.4.27以降、8.3系なら8.3.36以降、8.2系なら8.2.35以降が修正版です（例: 8.4.26は8.3.36より数字が大きくても未修正です）。8.1以前の系列は、サーバ会社や配布元が独自に修正を取り込んでいるかの確認が必要です。
番号が古く見えても、修正済みのことがあります。Linuxの配布元やサーバ会社は、番号を変えずに修正だけを取り込んだPHPを提供している場合があるためです（PHP公式も、配布元の更新パッケージを確認するよう案内しています）。番号だけで判断せず、サーバ会社のお知らせか問い合わせで確認するのが確実です。共用のレンタルサーバを使っている場合、PHPの更新はサーバ会社側の作業になることが多いです。
2. 誰が、どの層に、何をしたかを確認する
対策は、サーバ会社・制作会社・自社のいずれかが入れている可能性があります。複数が別々に入れていることもあります。 「PHPを修正版にした」のか「応急処置で送信を拒否した・制限した」のかで、次の確認内容が変わります。
3. 反響フォームから自分でテスト送信する
使っている反響フォームごとに、添付なしで1件、添付欄のあるフォームでは添付ありでも1件送ります。添付ファイルは実際に顧客が送ってくるものに近いサイズ（数MBのPDFや写真）で試します。小さなテキストファイルだけで通っても、本番で通るとは限りません。
4. テスト送信が最後まで届いたかを確認する
ここが本番です。送信完了画面は確認になりません。
- 問い合わせ通知メールが届いたか
- CRM・業務システムに反響レコードが作られたか
- チャット（LINE WORKSなど）への通知が飛んだか
- 担当者への割り当てが動いたか
経路の途中で止まっていると、サイトもCRMも正常に見えます。入口から担当者まで届いたかを確かめるには、通し確認がいちばん確実です。
5. 直近の反響件数を、前週の同じ曜日と比べる
対策を入れた前後で、件数が落ちていないかを見ます。曜日や広告の出し方で変動するので、前日比ではなく前週同曜日と比べます。普段は反響がある時間帯にゼロが続いていたら、まず経路を疑います。
CRMや業務システムは、誰に何を確認するか
答え: 「どのサービスか」より「どこで動いているか」で分かれます。自社のサーバに置いているものが、いちばん見落とされます。
| 使っているもの | 見方 |
|---|---|
| クラウド型の業務サービス（Salesforce、kintone、国内の業務SaaS 等） | 自社でPHPを更新する作業は通常発生しない。影響の有無と対応状況は、提供元のお知らせ・稼働状況ページで確認する |
| 自社サーバ・社内に設置した業務システム | 自社の責任範囲。提供元が自動で直してくれるとは限らない。 保守契約先に確認する |
| 自社ホームページ（WordPress等） | PHPで動いていれば直接の対象。最優先 |
提供元への確認は、この1文で足ります。
> 御社サービスは、2026年10月に公表されたPHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）の影響を受けますか。受ける場合、対応予定と、当社側で必要な作業をご教示ください。
ひとつ注意があります。お知らせが出ていないことは、影響がないことを意味しません。 公表のタイミングは会社によって違います。確認するまでは「不明」として扱います。
やりすぎないために（向かないケース）
答え: 応急処置は「PHPで動いているサイト」に絞り、修正版になったら、フォームに影響する制限を見直します。範囲を広げたり、自分でサーバ設定を触ったりすると、守りより副作用のほうが大きくなりがちです。
- 社内のネットワーク機器で、送信をまとめて拒否する。 自社サイトを守るつもりで、社内のファイアウォールやプロキシで全部の宛先への multipart/form-data 送信を止めると、CRMへのファイル添付やクラウドへの資料アップロードが全社で止まります。外部のクラウドサービスはこの方法では守れないので、副作用だけが出ます。対象は、自社が管理しPHPで動いているサイトに絞ります
- 自分でサーバの設定ファイルを触る。 共用のレンタルサーバでは、サーバ会社に修正状況と対応予定を確認したうえで、PHPの入れ替えを任せるほうが安全な場合が多いです。設定を触って戻せなくなると、そちらの被害のほうが大きくなることがあります
- 慌ててプラグインやテーマを一括更新する。 今回の件はPHP本体の問題で、プラグインの更新では解決しません。別の不具合を増やすおそれがあります
- 応急処置を入れたまま忘れる。 開発元は、応急処置は攻撃経路の一部を減らすだけで、完全な対策は修正版への更新だけだとしています。PHPが修正版になったら、今回追加した制限を解除・調整するかを保守担当者に確認します。開発元は送信サイズなどの制限を修正後も有用な守りとしているので、全部を外すのではなく、必要な制限は残したうえで添付フォームが通る設定にし、変更後にもう一度フォームを確認します。見直しを忘れると、添付つきの反響を取りこぼし続けることになります
よくある質問
PHPを使っていないシステムなら関係ありませんか
今回の2件はPHPの脆弱性なので、別の仕組みで動くシステムは対象外です。ただし前提として、「自社のどの仕組みが何で動いているか」を把握できている必要があります。把握できていない状態では、関係あるかどうかの判断自体ができません。この機会に、使っているシステムと提供元・保守の連絡先を一覧にしておくと、次に同じことが起きたときの初動が早くなります。
サーバ会社の対応を待っていればいいですか
共用のレンタルサーバでは、PHPの入れ替えはサーバ会社の作業になるため、自社で無理に設定を触るより任せるほうが安全な場合が多いです。ただし黙って待つのではなく、まずサーバ会社に修正済みかどうか・未修正なら対応予定・応急処置を入れたかどうかを確認します。未修正の状態が続く場合は、その間サイトを公開したままにするか、一時的に止めるかも相談します。並行して、応急処置で添付つきの反響を取りこぼしていないか、フォームの通し確認を先にやります。
攻撃を受けた形跡はどこを見ればいいですか
自社で見るなら、アップロード用のフォルダに見覚えのないプログラムファイルがないか、最近日時が更新されたファイルがないか、見覚えのない管理者アカウントが増えていないかを確認します。Sophosの勧告は、公表前から一部に知られていた可能性があるとして、2026年8月1日以降の記録を見直すよう勧めています。判断が難しい領域なので、制作会社やサーバ会社に「不審なファイルやアクセスの有無を確認してほしい」と依頼するのが確実です。なお報道で紹介された国内の各社は、メンテナンスの発表時点で不正アクセスや改ざんなどの被害は確認されていないと説明しています。
まとめ
今回の件で不動産会社がやることは、技術的な対応そのものよりも、反響が届いているかを自分の目で確かめることです。サーバの対応はサーバ会社に任せられますが、反響の件数や届き方の異常は、日々反響を受けている自社がいちばん早く気づける立場にあります。制作会社や保守会社がどこまで監視しているかも、あわせて確認しておきます。
今日やるのは3つです。
- 自社サイトのPHPが修正済みかを確認する（WordPressならサイトヘルス。番号が古く見えるときはサーバ会社に確認）
- 反響フォームごとに添付なし・添付あり（添付欄がある場合）でテスト送信し、CRMや通知まで届いたかを確認する
- 使っているシステムの提供元に、上の1文で確認を入れる
反響の入口を整理するところから始めるなら、媒体ごとの入口をまとめた主要媒体の反響管理画面、どこから入るかが参考になります。システム側の守りを見直すなら、不動産業務システムのログインはパスワードのままでよいかで認証の整え方を扱っています。
—
この記事を書いた会社
7plus株式会社 不動産会社向けの営業DX支援を行うITソリューションプロバイダーです。反響対応を即時化する「Mail2Link」「Mail2Link×AI」、ノーコード業務アプリ「BizBlock」の開発・提供に加え、Salesforce認定パートナーとして不動産特化型Salesforceパッケージの導入・定着コンサルティングも行っています。
詳しくはこちら → https://7plus.jp/
