関連インシデント · OpenSSL アドバイザリ · 2026年1〜9月

2026年の OpenSSL 高深刻度脆弱性と PHP への影響

PHP の openssl・curl 拡張はシステムの OpenSSL を呼び出します。PHP を更新しても OpenSSL は更新されません。

最終更新 2026-10-22

2026年の OpenSSL 高深刻度アドバイザリ

OpenSSL 公式アドバイザリより

CVE	公開日	内容	修正版
CVE-2025-15467	2026-01-27	CMS (Auth)EnvelopedData 解析のスタックバッファオーバーフロー。認証前。DoS、場合により RCE	3.6.1, 3.5.5, 3.4.4, 3.3.6, 3.0.19
CVE-2026-45447	2026-06-09	細工された PKCS#7 / S/MIME での PKCS7_verify() の use-after-free	4.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21
CVE-2026-84782	2026-09-29	DTLS 再送の範囲外読み取り。ヒープ情報の漏えいやクラッシュ	4.0.3, 3.6.5, 3.5.9, 3.4.8

PHP はどの OpenSSL を使っているか

リンクされたライブラリを確認

# Which OpenSSL is PHP linked against?
php -i | grep -i -E '^openssl|OpenSSL Library|OpenSSL Header'
openssl version
# Distribution packages often backport fixes without changing the upstream number:
apt-cache policy openssl libssl3     # Debian / Ubuntu
rpm -q openssl openssl-libs          # RHEL family

対処方法

ディストリビューションの OpenSSL パッケージ（libssl3 / openssl-libs）を更新し、PHP-FPM、Apache、常駐ワーカーを再起動します。
Docker は最新のベースイメージで再ビルドします。
独自の OpenSSL を同梱する環境は、ベンダーの更新版をインストールします。

よくある質問

PHP を更新すれば OpenSSL のバグも直りますか？

通常は直りません。ディストリビューションの PHP はシステムの libssl にリンクしているため、OpenSSL パッケージを更新します。独自の OpenSSL を同梱するビルドはベンダーの新ビルドが必要です。

一般的な PHP サイトは影響を受けますか？

コード次第です。CVE-2025-15467 と CVE-2026-45447 は CMS や PKCS#7（S/MIME など）の解析に関わり、PHP では openssl_cms_decrypt() や openssl_pkcs7_verify() などから使われます。PHP 固有の攻撃経路の公開報告は確認していませんが、ライブラリは更新してください。

古いバージョン番号が表示されたら脆弱ですか？

必ずしもそうではありません。Debian、Ubuntu、RHEL は番号を変えずに修正をバックポートするため、ディストリビューションのトラッカーで確認してください。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

OpenSSL Security Advisory, 27 January 2026 (CVE-2025-15467) — OpenSSL
OpenSSL Security Advisory, 9 June 2026 (CVE-2026-45447) — OpenSSL
OpenSSL Security Advisory, 29 September 2026 (CVE-2026-84782) — OpenSSL
Vulnerabilities list — OpenSSL
OpenSSL runtime configuration (openssl.cafile, openssl.capath) — PHP manual