【2026年1月版】PHP8.5の脆弱性情報一覧

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事は、PHP8.5の脆弱性情報をまとめたもので、2026年1月9日に執筆しています。

PHPとはWebサイトやアプリを開発する際に広く採用されているプログラミング言語であり、Webサーバー上で動いてプログラムを実行するサーバーサイドスクリプト言語に分類されます。
このPHPは、WordPressを始めとする主要なCMS（コンテンツ・マネジメント・システム）の多くがPHPで開発されていることから、Webサイトを運用する皆さんにとっても重要な言語と言えるでしょう。

安全で円滑なWebサイトの運用のためには、PHPを最新バージョンへとアップデートする必要があります。

この記事では、企業のWeb担当者の皆様が、ご使用になられているPHP8.5の脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

2026年1月9日現在、PHP8.5系統の最新バージョンは8.5.1です。

PHP8.5系統の、セキュリティサポート期限は、2029年12月31日です。

ご使用になられているPHPのバージョンが8.5.0の場合には、緊急レベルの脆弱性が存在する可能性があります。

当社が把握しているPHP8.5系統の脆弱性情報は次の通りです。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v4.0ないしv3.xに基づいています（上記表ではv4、v3と省略）。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠していますが、NVDにてスコアリングされていない場合、PHP Groupのスコアに準拠しています。
※原則としてNVDのページを正としてリンクを掲載していますが、JVNに掲載されていて、NVDと矛盾していない場合にはJVNのリンクを掲載しています。
※CVE-2025-67899はPHPコアの脆弱性ではなく、外部ライブラリ（uriparser）に起因する脆弱性ですが、PHPはURL/URIの解析処理用途でuriparserを内部利用しており、PHP 8.5.0にバンドルされていることから、本記事ではPHPの脆弱性として記載しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

PHPのバージョンアップは複雑な作業工程を伴うため、安全に行うためには専門的な知識が必要です。

また、Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、PHPを含めたミドルウェアについては対応されていない会社も多いと思います。