【2026年10月版】CakePHPのバージョン情報・サポート期限と脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、CakePHP（ケイクピーエイチピー）のバージョン情報とサポート期限及び脆弱性情報についてまとめた記事で、2026年10月26日に改訂しています。

CakePHPはCake Software Foundation (CSF)とコミュニティによって開発・サポートが継続されている、オープンソースのPHPによるWebアプリケーションフレームワークです。

PHP自体も人気のプログラム言語ですが、CakePHPはそのフレームワークとして非常に高い評価を得ていました。近年では、LaravelやSymfonyに差をつけられていますが、日本ではまだCakePHPによって開発されたWebシステムが数多く稼働しています。

安全で円滑なWebサイトの運用のためには、CakePHPについても最新バージョンへのアップデートが欠かせません。

この記事では、企業のWeb担当者の皆様に向けて、CakePHPのバージョン情報とサポート期限についてまとめた上で、CakePHPの脆弱性についてもご紹介したいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

CakePHP（ケイクピーエイチピー）は、各メジャーバージョンごとに一定期間のバグフィックスおよびセキュリティフィックスが提供されるポリシーを採用しています。

2026年10月26日現在、CakePHPの最新バージョンは5系統であり、公式がセキュリティサポートをしているバージョンは5系統と4.6系統のみです。

バグフィックスとは、セキュリティパッチの提供はもちろんのこと、軽微な不具合の修正も提供される期間です。
CakePHPのバグフィックスには、新機能の追加やAPIの大幅な変更は含まれません。

セキュリティフィックスとは、セキュリティパッチが提供される期間のことを指します。
バグフィックス期間が終了後、セキュリティフィックス期間終了までの間は、基本的に重大な脆弱性に関するパッチのみが提供されます。

CakePHP 1系統では、サポート期間とEOLポリシーは明確に定義されていませんでしたが、2015年11月1日に公式サポートは終了しています。

CakePHP 2系統については、バグフィックスがCakePHP 4.0.0のリリースから12ヵ月後（2020年12月15日）、セキュリティフィックスがCakePHP 4.0.0のリリースから18ヵ月後（2021年6月15日）とされ、既に公式サポートは終了しています。

CakePHP 3系統については、バグフィックスがCakePHP 4.0.0のリリースから24ヵ月後（2021年12月15日）、セキュリティフィックスがCakePHP 4.0.0のリリースから36ヵ月後（2022年12月15日）とされ、こちらも既に公式サポートは終了しています。

2026年10月26日現在、CakePHP 4系統からは、下記表のように、マイナーバージョン毎に、バグフィックス期限・セキュリティフィックス期限を設定する方針に変更されています。

※グレーのバージョンはセキュリティサポートが終了しています。
※詳細については、CakePHP の GitHub Wiki及び公式サイトのリリースを参照してください。

CakePHP 2系統から5系統に関する脆弱性情報で、当社が把握しているものは次の通りです（1系統は割愛させていただきます）。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v4に基づいていますが、CVSS v4でスコアリングされていない場合にはCVSS v3に基づいて、CVSS v3の適用前の脆弱性情報についてはCVSS v2に基づいて記載しています。
※深刻度の数値は米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠していますが、NVDにてスコアリングされていない脆弱性情報については、NVDでCNA（CVE採番機関）またはADP（追加情報提供者）として掲載されているスコアを、NVDに情報がない場合にはWordfenceのスコアに準拠しています。
※CVE-2019-11458の影響範囲については、CVEのサイトでは「CakePHP 3.7.6」とのみ記載されていますが、CakePHP公式サイトのリリースの記載からは、複数のマイナーバージョンに影響を与えていると読めることから、公式サイトの記載を正としています。
※CVE-2016-4793の影響範囲については、CVEのサイトでは「CakePHP 3.2.4 and earlier」とのみ記載されていますが、CakePHP公式サイトのリリース及びlegalhackers.comの該当情報の記載からは、複数のマイナーバージョンに影響を与えていると読めることから、公式サイトの記載を正としています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

CakePHPは、PHPで開発されているため、PHPの脆弱性にも影響を受けます。
そこで、CakePHPの各バージョンと対応するPHPバージョン、その脆弱性情報へのリンクを掲載しておきます。

※グレーのバージョンはCakePHPのセキュリティサポートが終了しています。

CakePHPはPHPのフレームワークとして評価されてきており、現在でも大手企業であってもCakePHPを利用しているケースが多いのが現状です。

しかしながら、自社内でバージョンアップを行うにも属人化が発生してリソースが足りなくなったり、管理するWebサイト・Webシステムの数が増え、あるいはWebサイト等の規模が大きくなるにつれて社内での対応が困難になることがあります。