「PHPの脆弱性は年に何件あるのか」を知るには、まず何を数えるかを決め、そのうえで30年分を年ごとの棒グラフで並べるのが近道です。山がいつあり、いまどの水準にいるのかが1枚で見えてきます。
PHP本体の脆弱性として、米国NISTの脆弱性データベース（NVD）に登録されたCVEは、1997年から2026年10月21日までに729件あります。NVDで公開された年で数えると最多は2007年の114件で、2016年も112件でした。2021〜2025年は年7〜17件で推移しており、平均すると約5週間に1件のペースです。2026年は10月21日までに16件が公開されています。
2026年10月21日、PHP公式は重大な脆弱性2件（CVE-2026-109618／109619）を修正した版を公開しました。本記事では、こうした個別の脆弱性の中身ではなく「年に何件か」に注目し、NVDのデータからPHP本体のCVEだけを公開年別に数えて、30年の推移と深刻度の内訳を図解します。
PHP本体の脆弱性は、年に何件見つかっているのか？
最多は2007年の114件。2021年以降は年7〜17件で推移している。
出典：NIST National Vulnerability Database（NVD）CVE API（2026年10月22日取得）
※ 公式データをもとに、可視化pedia編集部が独自に集計・編集したものです。
本記事は楓が調査・編集しています。掲載情報は執筆時点のものです。数値・制度・サービス内容は変更される場合があるため、最新情報は各公式サイトでご確認ください。
数え方｜PHP本体が脆弱と判定されたCVEだけを数える
「PHPの脆弱性」と一口に言っても、何を数えるかで件数は大きく変わります。最初に数え方を分岐の図で示し、どこまでを集計の対象にしたのかを確認しておきます。
※ 公式データをもとに、可視化pedia編集部が独自に集計・編集したものです。
CVEは、公開された脆弱性に付けられる世界共通の識別番号です。NVDは各CVEについて、どの製品のどのバージョンが影響を受けるかを「CPE」という製品名の形式で記録しています。本記事は、PHP本体を表すCPE「php:php」に一致したCVEを取り出し、その中で構成情報に「PHP本体が脆弱」と記録されたものだけを数えました。
2026年10月22日時点で「php:php」に一致したCVEは749件ありました。このうち20件は別の製品の脆弱性で、PHPは動作環境として記載されているだけでした。これを除いた729件が、PHP本体が脆弱と判定されたCVEです。WordPressのプラグインなど、PHPで書かれたソフトの脆弱性は別の製品として登録されるため、この数には入りません。
年の区切りは、NVDでCVEが公開された日です。CVE番号に含まれる年とは一致しないことがあり、たとえばCVE-2024-11235は2025年4月4日にNVDで公開されています。本記事の「2025年」はこの公開日で数えた年を指します。
30年で729件｜2007年と2016年に100件を超えた
30年分の件数は、年ごとの縦棒で並べると山の位置がすぐに分かります。PHP 7.0とPHP 8.0が公開された時期も、目印として図の上に重ねました。
※ 公式データをもとに、可視化pedia編集部が独自に集計・編集したものです。
PHP本体のCVEを公開年別に並べると、2000年代前半は年数件から十数件でした。2005年に20件、2006年に33件と増え、2007年は114件と30年で最も多い年になりました。2007年は3月だけで38件が公開されています。2008〜2015年は年13〜41件の間で推移し、2014年は36件、2015年は41件でした。
2016年は112件で、2007年に次ぐ2番目の多さです。この年は5月に53件が公開されました。その後は2017年43件、2018年23件、2019年34件、2020年17件と続きます。2021年以降は年7〜17件の範囲に収まり、100件を超えた2つの年とは水準が大きく異なります。
直近5年（2021〜2025年）の合計は52件で、平均すると年10.4件です。5年はおよそ261週なので、約5週間に1件のペースで公開された計算になります。最多の2007年（114件）と比べると、2025年の13件は約11%の水準です。729件を2015年以前と2016年以降に分けると、432件と297件でした。
深刻度の内訳｜2016年以降、Criticalの件数はどう変わったか
件数が同じでも、深刻度の中身は年によって違います。2016年以降を4つの区分の積み上げ棒にすると、重い区分がどの年に多いかが見えてきます。
※ 公式データをもとに、可視化pedia編集部が独自に集計・編集したものです。
CVSSは脆弱性の深刻度を0.0〜10.0の点数で表す共通の指標で、FIRSTが定める区分では9.0以上が「Critical」、7.0〜8.9が「High」、4.0〜6.9が「Medium」、0.1〜3.9が「Low」です。NVDでは2016年以降のPHP本体のCVEすべてにCVSS v3の評価があるため、この期間について区分別に数えました。
2016年は112件のうちCriticalが60件、Highが41件でした。2017年はCriticalとHighが21件ずつ、2019年はCriticalが14件です。2020〜2025年のCriticalは年0〜5件で推移していました。これに対し2026年は、10月21日までにCriticalが8件あり、2019年の14件以来の多さです。
2015年以前は、多くのCVEが旧版のCVSS v2だけで評価されています。v2には「Critical」の区分がなく、v3と同じ物差しで並べられないため、深刻度の内訳は2016年以降に限りました。2016年はv3.0の評価だけがあるものが89件、v3.1の評価があるものが23件で、2020年以降はすべてv3.1で評価されています。
2026年は10月までに16件｜うち8件がCritical
2026年の16件は、公開日ごとに点で並べると、いくつかの日にまとまって公開されているのが分かります。PHP公式のセキュリティリリースも縦の年表で並べました。
※ 公式データをもとに、可視化pedia編集部が独自に集計・編集したものです。
2026年にNVDで公開されたPHP本体のCVEは、10月21日までに16件です。公開日は4つの日にまとまっており、5月10日に10件、7月3日に1件、7月30日に3件、10月21日に2件でした。Criticalは5月10日の4件、7月30日の2件、10月21日の2件の計8件です。
10月21日にNVDで公開された2件（CVE-2026-109618／109619）は、NVDの評価でいずれもCVSS v3.1が9.8（Critical）です。PHPのセキュリティチームはCVSS v4.0で9.2と評価しています。CVE-2026-109618のNVDの記録では、PHP 8.2.35・8.3.36・8.4.27・8.5.12より前の版が影響を受ける範囲とされています。
PHP公式は、PHP 8.1以前の版はすでに更新の対象外で、PHP 8.2は2026年12月31日にサポートを終えると案内しています。使っている版や更新の手順は、PHP公式のお知らせとIPAの注意喚起で確認してください。
楓のまとめ｜PHP本体のCVEは30年で729件、近年は年7〜17件
ここまでの数え方・30年の推移・深刻度・2026年の動きを並べると、件数の山と現在の水準がはっきり分かれます。3つの観察事実に整理します。
「PHPの脆弱性は年に何件見つかっているか」という問いに対し、本記事ではNVDのデータからPHP本体のCVEだけを数えました。数え方を固定したうえで、件数と深刻度の動きを観察事実として整理しておきます。
PHP本体のCVEは、100件を超えた2007年と2016年の山を経て、2021年以降は年7〜17件の水準にあります。一方で2026年は、10月の時点でCriticalが8件に達しています。NVDの件数は再分析や追加登録で変わることがあるため、本記事の数値は2026年10月22日時点のものです。PHPが動くWebを利用する人の数そのものは、世界のインターネット普及率の地域別データで整理しています。
よくある質問（FAQ）
CVEの件数を読むときは、何を数えたか・いつの時点か・どの日付で年を区切ったかの3点をセットで確認してください。数え方が変わると、件数も変わります。
Q1. CVEとは何ですか？
CVE（Common Vulnerabilities and Exposures）は、公開された脆弱性を一つずつ識別するための共通の番号です。「CVE-2026-109618」のように年と連番で表し、米国のMITREが運営するCVEプログラムのもとで割り当てられます。NVDは、CVEごとに深刻度（CVSS）や影響を受ける製品の情報を加えて公開しているデータベースで、米国NISTが運営しています。
Q2. 件数が多い年は、PHPの危険が大きかった年なのですか？
件数は、その年にNVDで公開されたCVEの数です。1件ごとの深刻度や影響を受ける範囲はそれぞれ異なるため、件数の多さがそのまま利用者への影響の大きさを表すわけではありません。2007年3月の38件のように、同じ時期にまとめて公開される場合もあります。本記事は件数と深刻度の区分を数えたもので、言語としての安全性の優劣を示すものではありません。
Q3. PHPで作られたサイトやWordPressの脆弱性も含まれますか？
含まれません。NVDでは、WordPressの本体やプラグインなどPHPで書かれたソフトの脆弱性は、それぞれ別の製品（CPE）として登録されます。本記事はPHP本体を表す「php:php」が脆弱と判定されたCVEだけを数えているため、PHPで書かれたソフトを足し合わせると件数は大きく変わります。
🔍 この記事のファクトチェックについて
当サイトはファクトチェックを実施しています。このページのファクトチェックのエビデンスを以下に掲載します。
