php.net ではありません · NVD ではありません · CISA ではありません

PHP 脆弱性トラッカー

PHP のセキュリティ脆弱性に関する非公式ブリーフィング

English简体中文日本語DeutschFrançaisNederlandsEspañol

セキュリティ警報

PHP2Shell：PHP をアップデートしてください。それが唯一の完全な修正です。

CVE-2026-109618 と CVE-2026-109619 は、PHP 本体に存在する認証不要のリモートコード実行（RCE）の深刻な脆弱性です。PHP プロジェクトは 2026 年 10 月 21 日、サポート中の 8.2〜8.5 系に修正版を公開しました。アップデート後は PHP を再起動してください。ファイアウォールは代わりになりません。

対策の手順

影響を受けるバージョン

PHP2Shell の影響を受ける PHP のバージョンは？

両 CVE を塞ぐ上流のリリース番号は PHP 8.5.12、8.4.27、8.3.36、8.2.35、または同じブランチのそれ以降だけです。古いブランチについては、公開記事が同一の範囲を使っていないため、すべて但し書きが必要です。

最終更新

2026 年 10 月 21 日のリリース後の上流の状況。「修正済み」は公式 PHP リリースが存在するという意味で、お使いのパッケージに反映済みという意味ではありません。
ブランチ引用した情報源での状況上流の修正
8.5（8.5.12 未満）PHP セキュリティチームが影響ありと記載8.5.12
8.4（8.4.27 未満）PHP セキュリティチームが影響ありと記載8.4.27
8.3（8.3.36 未満）PHP セキュリティチームが影響ありと記載8.3.36
8.2（8.2.35 未満）PHP セキュリティチームが影響ありと記載8.2.35
8.1公式リリースなし。PHP は最小限のソースバックポートを公開したとしています。アップグレード、または検証済みのベンダー / ソースのバックポート
8.0 と 7.48.1 と同じ：ソースバックポートのみで、新しい上流リリースなし。アップグレード、または検証済みのベンダー / ソースのバックポート
7.3 以前（5.4 まで）Wiz、Google Cloud、Cloudflare は 5.4 からの影響を説明。Expel は 7.3 以前について PHP は明言していないとしています。これらの系列に上流の修正なし。移行を計画してください。
5.4 より前の PHP 5Wiz、Google Cloud、Cloudflare の記述では下限ではありません。勧告前の watchTowr FAQ は PHP 5 全般としていました。インターネットに公開しないでください。この行は不確かであって、安全という意味ではありません。

ブランチ別に見る

例：8.3.35 または PHP/8.2.34。パッチ番号まで必要です。

まだ確認していません。結果はブラウザ内にのみ残ります。

8.2 より下に空白がある理由

Jakub Zelenka の oss-security の投稿は、影響を受けるバージョンを、サポート中の 4 ブランチの該当パッチレベル未満としています。これはセキュリティチームがリリースで修正したバージョンについての記述であり、それだけで 8.1 が影響を受けないという主張ではありません。php.net の勧告は、8.1 以前は PHP プロジェクトからの更新がなく、ディストリビューションや LTS のバックポートを案内し、ソースからビルドする人向けに 7.4、8.0、8.1 の最小限のソースバックポートを提供したとしています。バックポートの公開はこれら 3 ブランチが対象だった証拠ですが、php.net から apt でインストールできるサポート版ではありません。

Wiz は 5.4 までさかのぼるとし、Google Cloud は「5.4 から 8.5.11 までのすべてのバージョン」、Cloudflare は「PHP 5.4 以降」と書いています。ThreatCluster は session.upload_progress が PHP 5.4.0 から存在しデフォルトで有効だと指摘していますが、これは CVE-2026-109619 の経路の一つであり、すべての経路が 5.4 で止まる証明ではありません。watchTowr は 10 月 20 日に PHP 5、7、8 全体としていました。Expel の後の通知は慎重な訂正で、7.3 以前は PHP が明言していないとしつつ、Web 上のサポート終了 PHP はいずれにせよリスクありとみなすべきだとしています。

確認ツールはバージョン番号の比較です

処理はすべてブラウザ内で行われ、バージョンはどこにも送信されません。3 つ組が 8.2.35、8.3.36、8.4.27、8.5.12 以上かどうかは判定できますが、Ubuntu、RHEL、cPanel、コンテナベンダーが古い番号のまま修正をバックポートしたかどうかは判定できません。Web サーバーが実際に読み込んだバイナリも見えません。アップグレード後は php-fpm -v や Apache モジュールのビルドを比較し、サービスを再起動して再確認してください。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  5. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  6. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  7. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  8. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  9. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  10. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
  11. Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security