セキュリティ勧告 · PHP2Shell · 2026 年 10 月 22 日
PHP の脆弱性 PHP2Shell：深刻なリモートコード実行（CVE-2026-109618、CVE-2026-109619）
これは非公式のブリーフィングであり、php.net、NVD、CISA ではありません。運用担当者が事実をすばやく確認できるよう、PHP のセキュリティ勧告に近い構成にしています。
最終更新
1. ニュース
2026 年 10 月 21 日、PHP プロジェクトは PHP ランタイムに存在する認証不要のリモートコード実行の深刻な脆弱性 2 件についてセキュリティ勧告を公開しました。この PHP の脆弱性は一般に PHP2Shell と呼ばれ、CISA は「php2shell」と表記しています。
| ID | 概要 | CVSS v4.0 |
|---|---|---|
| CVE-2026-109618 | メモリ不足（OOM）時の破損による RCE（GHSA-w8hw-w9fx-j79w）。Apache mod_php が最もリスクが高いとされています。 | 9.2 |
| CVE-2026-109619 | 同じワーカー上のリクエスト間で再利用される古いグローバル状態による RCE（GHSA-6wmf-4rv5-p3rp）。 | 9.2 |
| ブランチ | 修正前の状態 | 修正版（2026 年 10 月 21 日） |
|---|---|---|
| PHP 8.5 | 影響あり | 8.5.12 |
| PHP 8.4 | 影響あり | 8.4.27 |
| PHP 8.3 | 影響あり | 8.3.36 |
| PHP 8.2 | 影響あり | 8.2.35 |
| PHP 8.1 以前 | PHP プロジェクトからの新しい公式リリースなし。一部ベンダーがバックポート | ベンダー情報 / サポート終了版の解説を参照 |
確認されている攻撃活動（公開情報）
- AWS MadPot は、公開前の 2026 年 10 月 17 日に悪用の試行を報告しました。
- Cloudflare、AWS、watchTowr は勧告後に大量の悪用試行を報告しています。Cloudflare の CEO は 10 月 22 日、試行が数千件から数百万件に増えたと投稿しました。
- 本ページで確認した情報源では、特定の本番 Web サイトの侵害は確認されていません。二次報道によると 10 月 22 日時点で両 CVE は CISA KEV に未掲載でした。KEV カタログはご自身でも確認してください。
2. 影響を受けるか確認する
Web SAPI が報告する PHP バージョン（php -v、ホスティングのコントロールパネル、phpinfo()）を入力してください。このツールはバージョン番号を上流の修正版と比較するだけで、ベンダーのバックポートは判別できません。
- ブランチ別ページ：8.5、8.4、8.3、8.2、サポート終了 5〜8.1。
- 一覧表：影響を受けるバージョン。
- 中国のホスティングパネル：宝塔面板。
3. 主なサイトとベンダー
| ベンダー | 状況 | 備考 |
|---|---|---|
| Cisco | 調査中 | 多数の製品を確認中。確認した通知の時点では影響が確認された製品はなし。 |
| Red Hat | 一部修正済み | 一部パッケージを更新済み。各チャネルを確認してください。 |
| Ubuntu | 修正済み | サポート中のリリース向けにセキュリティ更新を公開。 |
| Debian | 修正済み | DLA-4848-1（12 bookworm）と DSA-6574-1（13 trixie）。 |
| cPanel | 修正済み | パネルのパッケージを更新。 |
| Plesk | 修正済み | パネルのパッケージを更新。 |
| Sophos | 影響なし | 自社製品は影響を受けないと表明。 |
| AWS | 一部修正済み | 告知 2026-143-AWS：Elastic Beanstalk、Amazon Linux、Lightsail の更新を順次提供。Lightsail は新規インスタンスが必要。 |
4. 修正・パッチ適用の方法
- PHP **8.5.12**、**8.4.27**、**8.3.36**、**8.2.35**（または同じブランチのそれ以降）へアップデートします。ソースと Windows ビルド：php.net ダウンロード。
- リクエストを処理するすべてのワーカーを再起動します（mod_php の Apache、PHP-FPM プール、php-cgi、FrankenPHP、LiteSpeed、コンテナ）。
- PHP 8.1 以前：ベンダーのバックポートを入手する、ソースからビルドしているなら 7.4/8.0/8.1 向けの最小限のソースバックポートで再ビルドする、またはアップグレードできるまでサービスを停止します。更新できないシステムに対する CISA の指針と同じです。
- WAF のルールや PHP 勧告にある暫定的な
php.ini設定は、一部の経路を減らすだけです。完全な修正ではありません。
apt、yum、Docker、cPanel、Plesk などの手順：対策。
5. 世界的な公開規模と、AI 時代のレガシー環境への圧力
公開されている規模の推定は大きいものですが、侵害に成功したサイトの数ではありません。VirusTotal の分析を引用した The Record と ThreatCluster の記事は、いずれも PHP と識別されたインターネット上のアドレスを約 **510 万**としています（ThreatCluster によると、バージョンヘッダーを返すのは約 110 万のみ）。以前に引用された別の調査では、Censys 型の推定で影響を受けるホストが **130 万**を超えるとされていました。Bitsight の最近の PHP 観測は米国、ドイツ、フランス、オランダ、日本に集中していますが、特定の国が「より古い」という証明ではありません。
世界全体の損失額を金額で**創作することはしません**。保険会社、政府、侵害の公表が帰属可能な損失を公開するまで、どんな数字も推測にすぎません。
AI 時代にこの問題がより深刻になる理由
- PHP2Shell に関する報道（Wiz や、PHP Foundation についての The Record の記事を含む）は、AI を活用したレビューが、何十年も使われてきたランタイムに潜んでいた深刻な欠陥の発見に役立ったと伝えています。攻撃者も同じ力を得ます。PoC が出回れば、スキャンと武器化は、放置されたホストの手作業のパッチサイクルより速く広がります。
- サポート終了の PHP（ベンダーのバックポートがない 5.x〜8.1）は、共有ホスティング、アプライアンス、「入れっぱなし」の CMS サイトで今も一般的です。アップグレード方法を知る管理者がいないことも多く、言語レベルの RCE はアプリのバグ修正ではなく、インターネット全体の後始末の問題になります。
- 運用担当者への教訓：PHP が組み込まれている場所をすべて棚卸しし、勧告当日にパッチを当て、PHP プロジェクトがもう提供していないブランチは廃止すること。業界への教訓：AI は発見から悪用までの期間を縮めます。レガシー環境のパッチ遅延こそが露出です。
出典
外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Joint statement on critical PHP vulnerabilities — ENISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
- PHP2Shell: PHP remote code execution exploited — watchTowr
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Known Exploited Vulnerabilities catalog — CISA