PHP（ピーエイチピー）公式は10月23日、次の通常修正版までアップロード進捗の設定を無効にするよう追加案内を出しました。
［IT・ネット］ この記事の要点
2026年10月23日 発表 （2026年10月26日 更新）
- PHP（ピーエイチピー）を使うウェブサービスの管理者と保守担当者
追加告知で示されたこと
PHP（ピーエイチピー）を21日の緊急修正版へ更新した管理者も、23日に加わった設定の案内は別に確認してください。公式は、まれな条件でコードを実行される経路への対処として、次の通常の不具合修正版まで「session.upload_progress.enabled=0」を推奨しています。
これは、セッションを使ってファイル送信の進み具合を調べる機能を無効にする設定です。ブラウザの設定や、一般利用者のアプリ操作を変える話ではありません。サーバーやアプリの保守を担当する人が、自分の環境での適用状況を確認する項目です。
画像の出典
発表元・確認先／2026年10月26日確認。
21日の案内を受けて、すでにこの設定を0にしていた場合は、その状態を維持すれば追加の対応は不要と公式は説明しています。無効にしていた設定を、修正版へ更新したからといって元へ戻す前に確認してください。23日の案内では、次の通常リリースに合わせて（CVE-2026-115560）の詳しい情報を公表する予定です。CVE（シーブイイー）は脆弱性を区別する番号です。
対象になる条件
追加告知の問題は、設定とアプリの処理が特殊に組み合わさった場合に限られます。通常のセッション設定を使っているというだけで、この経路の対象だと決めることはできません。公式の説明を確認表にすると、次の組み合わせです。
| 見るところ | 公式が説明した条件 |
|---|---|
| 最初の設定 | session.serialize_handlerがphp_binaryまたはphp_serialize |
| アプリの実行中 | ini_set()によってハンドラーをphpへ切り替える |
| 切り替える順番 | session_start()を呼ぶ前に切り替える |
| アップロード進捗 | session.upload_progressが有効 |
実行時にハンドラーを変更しないアプリは、この進捗機能を有効のまま使えるとも公式は説明しています。「すべてのWordPress（ワードプレス）が再び同じ危険な状態にある」「ファイルを送る機能は全部止めるべきだ」という発表ではありません。対象になるか分からないときは、保守担当に設定だけでなくアプリの処理も照合してもらいます。
PHP（ピーエイチピー）公式マニュアルでは、session.upload_progress.enabledの初期値は1、設定変更の区分はINI_PERDIR（アイエヌアイ・パーディレクトリ）です。画面で何かを入力するだけで直せると考えず、適用する設定ファイル、実際に動いている環境、反映方法を契約先へ確認してください。
緊急修正版との違い
21日の2件を修正した版は、PHP（ピーエイチピー） 8.5.12、8.4.27、8.3.36、8.2.35です。23日の追加案内で示された条件は、この2件の更新を取り消すものではありません。更新がまだなら、その適用を後回しにせず、追加の設定案内も保守の確認に含めます。
| 確認する対応 | 混同しないこと |
|---|---|
| 21日の緊急修正版を適用 | session.upload_progressを0にするだけで、2件の修正をすべて代替したとは言えない |
| 23日の追加設定を確認 | 緊急修正版の番号だけ見て、追加の条件確認まで済んだとは言えない |
| 次の通常修正版を確認 | 今回の告知にない公開日や版番号を予測して適用予定にしない |
Linux（リナックス）の配布元やサーバー会社が、元の版へ修正を取り込む対応をしている場合もあります。画面の版番号だけで未対応と断定せず、契約環境への適用回答を照らし合わせます。版番号と保守先への確認事項は、PHP（ピーエイチピー） 脆弱性/今後の注意と確認事項にまとめています。
担当者へ渡す確認事項
担当者には、対象サイトの名前、使っているPHP（ピーエイチピー）の系列、21日修正の適用日時、アップロード進捗設定の現在値、実行時にハンドラーを変更する処理の有無をまとめて照会します。自分でコードを読めない場合は、推測で「対象外」と記録しないでください。確認できていない項目を、そのまま質問に残します。
設定変更後は、許可されたテスト方法で予約・問い合わせ・ファイル送信などの動作を確かめます。本番で同じ注文や申請を繰り返すのではなく、保守担当と受付記録を照合する形です。動作確認の項目は、WordPress PHP（ワードプレス・ピーエイチピー）更新/対処とエラーも利用できます。
また、JPCERT/CC（ジェーピーサート・コーディネーションセンター）は、修正適用と合わせた侵害調査も呼びかけています。エラーやログの異常が見つからないだけで、攻撃を受けていないと断定はできません。不審な変更などがある場合は、関連する記録を保全して保守担当へ渡し、調査や隔離の要否を判断してもらいます。
アイキャッチの出典
イメージ写真。写真の出典／Pexels License結局どうすればよいか
- 21日の修正適用と23日の追加設定の両方を確認する
- アプリの実行時設定変更の有無を保守担当と照合する
あわせて読む・調べる
くわしく知る（保存版の記事）
公式出典
更新履歴
- 2026年10月26日 初版公開。公式発表・取材時点を本文に記載。
※本記事は2026年10月26日時点で公表されている情報にもとづきます。数値・制度・進路などは今後変わる可能性があるため、最新の内容は各公式発表をご確認ください。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント