【2026年5月版】PHP8.0の脆弱性情報一覧

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事は、PHP8.0の脆弱性情報についてまとめたもので、2026年5月28日に改訂しています。

PHPとはWebサイトやアプリを開発する際に広く採用されているプログラミング言語であり、Webサーバー上で動いてプログラムを実行するサーバーサイドスクリプト言語に分類されます。
このPHPは、WordPressを始めとする主要なCMS（コンテンツ・マネジメント・システム）の多くがPHPで開発されていることから、Webサイトを運用する皆さんにとっても重要な言語と言えるでしょう。

安全で円滑なWebサイトの運用のためには、PHPを最新バージョンへとアップデートする必要があります。

この記事では、企業のWeb担当者の皆様が、ご使用になられているPHP8.0系統の脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

2026年5月28日現在、PHP8.0系統の最新バージョンは8.0.30です。

PHP8.0系統のセキュリティサポート期限は、2023年11月26日であり、既にサポートは終了した状態（EOL）です。

ご使用になられているPHPのバージョンが8.0系統の場合には、緊急レベルの脆弱性が存在する可能性があります。

当社が把握しているPHP8.0系統の脆弱性情報は次の通りです。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v4に基づいています。CVSS v4の適用前の脆弱性情報についてはCVSS v3ないしCVSS v2に基づいて記載しています。
※深刻度の数値は、Japan Vulnerability Notes（本記事では「JVN」とします）および、米国国立標準技術研究所（NIST）が提供する脆弱性データベースである National Vulnerability Database（以下「NVD」とします）に掲載されているCVSSスコアに準拠しています。JVNまたはNVDにてスコアリングされていない場合は、PHP Groupなどの製品開発元・CNAが公表しているスコアを参照しています。なお、同一CVEにCVSS v4.0とCVSS v3.xのスコアが併記されている場合は、原則としてCVSS v4.0のスコアを記載しています。
※EOL後の脆弱性情報については、CVE、NVD、JVNのデータベース上では影響を受けるバージョンに8.0が記載されていないケースがありますが、EOL版のバージョンは列挙されない場合があるという運用上の理由であると考えられることから、「記載がない＝影響を受けない」とは限らないことに注意が必要です。その為、当社の方で各脆弱性ごとにPHP 8.0系統に影響があるか検討の上掲載しています（本記事における影響判定は、あくまで当社見解です）。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

PHP 8.0 は、2023年11月26日をもって公式サポート（EOL）を迎えました。
これ以降、新たな脆弱性が発見された場合であっても、PHP公式から修正パッチが提供されることはありません。

もっとも、EOLを迎えた PHP バージョンであっても、直ちに危険な状態になるとは限りません。
OSによっては、セキュリティサポートが終了したミドルウェアに対しても、緊急性・重大性の高い脆弱性に限り、バックポートと呼ばれる方式で修正を適用するケースがあるためです。

OSがRHEL（Red Hat Enterprise Linux）9、AlmaLinux OS 9、Rocky Linux 9の場合には、PHP 8.0はRHEL 9 Full Life Application Streams Release Life Cycleの対象ですので、2032年5月31日までバックポートの対象となります。

一方で、Amazon Linux 2023では、PHP8.0のパッケージ自体が存在していないため、同OSでは、それらに対するALAS（＝バックポートされた修正の配布）は発生しません。
また、RHEL（Red Hat Enterprise Linux）8、AlmaLinux OS 8、Rocky Linux 8においては、PHP 8.0はすでに公式なサポート対象の範囲外となっており、EOL後の PHP 8.0に対して継続的なセキュリティ修正が提供されることは事実上期待できません。

このため、PHP8.0をご利用の場合で、OSがRHEL 9、AlmaLinux OS 9、Rocky Linux 9ではない場合には、PHP 8.4以降へのバージョンアップ、または対応環境へのマイグレーションの必要性について各OS・環境ごとに検討されることを推奨します。

※詳細については、コラム「EOLになったPHPバージョンとOSによるバックポートについて」をご覧ください。

PHPのバージョンアップは複雑な作業工程を伴うため、安全に行うためには専門的な知識が必要です。

また、Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、PHPを含めたミドルウェアについては対応されていない会社も多いと思います。