本日2026年10月21日、PHPに影響する2件の重大なセキュリティ脆弱性が公開されました。これらの脆弱性を悪用されると、攻撃者が認証なしで、影響を受けるサーバー上で悪意のあるコードを実行できる可能性があります。

Matomo Cloudをご利用のお客様はすでに保護されています。対応は必要ありません。

Matomo On-Premise（オンプレミス）をご利用の方は、ただちにPHPを更新してください。

何が起きたのか

PHPセキュリティチームが2件の重大な脆弱性を公開しました。いずれもCVSSの深刻度評価で10段階中9.2と評価されています。

• CVE-2026-109618：PHPのメモリ不足時の処理に関連するメモリ破損の脆弱性。
• CVE-2026-109619：PHPの内部状態管理に関する脆弱性で、安全でないメモリアクセスにつながる可能性があります。

特定の条件下では、これらの脆弱性によって、認証されていない攻撃者が、影響を受けるサーバー上でリモートからコードを実行できる可能性があります。

これらの脆弱性は、Matomo固有のものではなく、PHP自体に影響するものです。ただし、MatomoはPHP上で動作するため、脆弱なバージョンのPHPを使用している環境は影響を受けるおそれがあります。

Matomo Cloudをご利用のお客様は保護されています

Matomo Cloudをご利用の場合、対応は必要ありません。

Matomo Cloudのインフラはすでにこれらの脆弱性への対策が施されています。また、基盤となるインフラとセキュリティアップデートは、お客様に代わって私たちのチームが管理しています。

これはMatomo Cloudを利用するメリットのひとつです。PHPのリリースを監視したり、自社でサーバーを保守したりしなくても、インフラに関する重要なセキュリティアップデートは私たちが対応します。

Matomo On-Premiseをご利用の方に必要な対応

Matomoを自社のサーバーでホストしている場合は、ただちにPHPを更新することを強くお勧めします。

PHPチームは次のセキュリティアップデートをリリースしています。

これより古いバージョンのPHPを使用している場合は、利用可能なセキュリティパッチについてOSの提供元またはホスティングプロバイダーに確認するか、サポート対象のバージョンにアップグレードしてください。

次の対応をお勧めします。

• MatomoサーバーでどのバージョンのPHPが動作しているかを確認する。
• PHPまたはOSベンダーが提供する最新のセキュリティアップデートをただちに適用する。
• ウェブサーバーで修正済みのバージョンのPHPが動作していることを確認する。

Matomo自体を更新しても、これらの脆弱性は解消されません。 セキュリティ修正は、基盤となるPHPの環境に適用する必要があります。

詳しくは、PHPの公式セキュリティアドバイザリを参照してください。

解析環境を安全に保つために

Matomoはセキュリティを重視しており、On-Premiseをご利用のすべての方に、インフラとソフトウェアの依存関係を常に最新の状態に保つようお勧めしています。

サーバーの保守、PHPのアップグレード、インフラのセキュリティを自分で管理したくない場合は、フルマネージドの選択肢としてMatomo Cloudがあります。管理作業から解放され、解析そのものに集中できます。

私たちは今後も状況を注視し、必要に応じて追加の情報をお知らせします。