2026年10月の主な脆弱性まとめ PHP・Node.jsなど7製品の影響と修正版

PHPの深刻な脆弱性が話題になっていますが、2026年10月はNode.jsやGitLab、普段使っているブラウザにもセキュリティ更新が出ています。

発表を一つずつ追っていると「結局、自分が使っているバージョンは更新が必要なの？」というところが分かりにくいんですよね。

この記事では2026年10月22日までに公式発表を確認できた7製品について、どんな問題があるのか、どのバージョンが対象なのか、どこまで更新すれば修正されるのかをまとめました。

対象は10月中に公表された脆弱性や修正です。Critical以外の問題も含め、深刻度は各開発元の表記に沿って紹介します。表の修正版はここで取り上げる問題への対応版です。更新時に後続版が出ている場合は利用中の系列の新しい修正版を確認してください。

PHPで認証なしのコード実行につながる2件の脆弱性

2026年10月21日、PHPで2件の深刻な脆弱性を修正する更新が公開されました。対象はCVE-2026-109618とCVE-2026-109619でどちらもCritical、CVSS v4.0の評価は9.2です。

メモリ不足が発生したときの処理や処理が終わったリクエストの状態を次の処理で参照してしまう問題があり、条件がそろうとログインしていない攻撃者にサーバー上で不正なコードを実行されるおそれがあります。

PHP公式はPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境をリスクのある対象に挙げています。

表はPHP本家が公開した修正版です。Linuxディストリビューションや保守サービスでは元のバージョン番号を維持したまま修正を取り込む場合があります。配布元のパッケージを使っている場合は、バージョン番号に加えて今回の2件のCVEへの対応状況を確認してください。

PHP 8.1以前も表にないから安全とは判断できません。PHP本家の通常の更新対象外で、今回提供された一部の旧系列向け修正もソースコードへの適用が前提です。配布元の対応を確認するか、サポート中の系列への移行が必要です。

WordPressを使っている場合はサーバー側のPHPが修正済みかを確認してください。WordPress本体の更新だけでは、実行環境であるPHPの修正は済みません。レンタルサーバーなら事業者のお知らせや管理画面で対応状況を確認するのが先です。

WordPress本体では10月公開の7.1.3でもセキュリティ修正が行われています。PHPの対応とあわせて本体の更新状況も確認したい場合は次の記事で修正内容と更新手順をまとめています。

あわせて読みたい

WordPress 7.1.3は今すぐ更新すべき？セキュリティ修正7件の緊急度と影響 WordPress 7.1.3で修正された7件のセキュリティ問題を、未ログイン・寄稿者や投稿者・管理者の操作などの条件で整理しました。更新を急ぐ理由と、Imgurのキャッシュや画像アップロードなど更新後に確認したい点をまとめています。

Node.jsは圧縮データの処理や証明書の検証などを修正

Node.jsも10月21日にセキュリティ更新を公開しています。公式告知に列挙された本体の問題はHighが4件、Mediumが3件、Lowが3件の計10件です。

代表例はBrotli形式の圧縮データを展開する際にメモリの範囲外へ書き込み、不正なコードの実行につながるおそれがあるCVE-2026-111497です。このほか、接続先とTLS証明書の照合を回避される問題なども修正されています。

脆弱性ごとに対象は異なりますが、Brotliの問題は上記3系列が対象です。サポート終了版は表の対象外であり、引き続き使ってよいという意味ではありません。

GitLabで認証なしのコード実行につながる脆弱性

自分でGitLabサーバーを運用している場合は、CVE-2026-97229の確認が必要です。GitLabは10月12日に対応版を公開、深刻度はCritical、CVSS v3.1の評価は10.0です。

CI/CD設定に含まれる正規表現の検証に問題があり、特定の条件下では認証していない攻撃者にGitLabサーバー上で不正なコードを実行されるおそれがあります。対象はCommunity Edition（CE）とEnterprise Edition（EE）の両方です。

19.3系列は公式告知に記載された19.3.5を基準にしています。19.3.4には別の不具合があり、19.3.5で修正されています。

GitLab.comとGitLab Dedicatedは公式発表では修正適用済みです。自分で構築したGitLabや社内のGitLabを使っている場合は、管理者側で更新状況を確認してください。

Apache Tomcatは特定の認証設定でパスワード検証を回避される問題

JavaのWebアプリで使われるApache Tomcatでは10月20日に認証回避などの脆弱性が公表されました。代表的なCVE-2026-101296は正しいパスワードを提示していないのに認証が通ってしまう問題です。Apacheの評価はImportantです。

この問題はJNDIRealmでGSSAPI以外のSASL認証方式を設定した環境が対象です。

表の「M1」は正式版より前の開発版を表します。修正版自体は10月12日付で、脆弱性の公表日が10月20日です。

Apache HTTP ServerはHTTP/2処理やWebDAVの問題を修正

WebサーバーのApache HTTP Serverでは10月1日公開の2.4.69で複数の脆弱性が修正されています。ここでは公式評価がModerateの2件を取り上げます。

HTTP/2処理で解放済みのメモリを使ってしまう問題と、WebDAVで大量のXML名前空間を含むリクエストを処理すると、プロセスの停止やプロパティ情報の破損につながる問題です。

WebDAVの問題は認証済みで書き込み権限のある利用者による操作が条件です。利用中のモジュールや設定によって影響が変わります。

ChromeはCriticalを含むメモリ関連の脆弱性を修正

サーバーを運用していない人もブラウザの更新は確認しておきたいところです。

Googleは10月20日にChrome 156を安定版として公開しました。この更新には画像描画に使うSkiaのメモリ破損（CVE-2026-113341）、WebRTCのメモリ破損（CVE-2026-113303）などCriticalと評価された問題が含まれます。

公式のリリース告知には各問題が混入した最初のバージョンまでは記載されていません。通常の安定版を利用していて上記より古い場合は更新を確認してください。企業向けのExtended Stableなどは別の更新系列です。

FirefoxはSVG処理と不正な証明書への対策を更新

Firefoxでは10月20日にSVG処理の境界条件の不備（CVE-2026-113399）などを修正した158.0.1が公開されました。この問題の公式評価はHighです。

同時に、不正なeMudhraの中間証明書をブロックするための対応も含まれています。こちらはCVE-2026-113470として公表され、通常版と長期サポート版のESRが対象です。

Mozillaは証明書のブロック情報を10月17日から配信していました。今回の更新はその情報を製品にも組み込み、企業ポリシーやネットワークの事情で配信を受け取れない環境にも対応するものです。修正版より古い環境でもすでにブロック情報を受信している場合があります。

SVGの問題について公式告知には影響が始まった最初のバージョンの記載がありません。利用中の系列で上記より古い場合は更新を確認してください。表はデスクトップ向けの情報でAndroid版やiOS版はそれぞれの更新情報を確認する必要があります。