CISA・ENISA・Cloudflare・AWS は PHP2Shell をどう見ているか

PHP プロジェクトと PHP Foundation

php.net の 10 月 21 日の勧告が運用上の情報源です。両欠陥が認証不要のリモートコード実行を許し得ること、Web リクエストを処理するすべての PHP がリスクにさらされること、mod_php が最もリスクが高いこと、完全な修正はアップデートだけであることを述べています。修正版は 8.5.12、8.4.27、8.3.36、8.2.35 です。PHP Foundation の同日の投稿は、デフォルト設定の Apache mod_php でアプリケーションコードの実行前に完全な RCE が実証され、PHP-FPM でもアプリケーションレベルの経路で RCE が確認されたとしています。実環境での侵害件数は公表していません。

NVD

Tanium の時系列によると、NVD は 2026 年 10 月 21 日 14:17 UTC に CVE-2026-109618 を公開し「分析中」としました。本サイトが 2026 年 10 月 22 日 07:20 UTC ごろ NVD API を照会したところ、両レコードのステータスは「Modified」で、PHP セキュリティチームの CVSS v4.0 9.2 に加えて NVD 自身（Primary）の CVSS v3.1 スコア 9.8（Critical、ベクトル AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）が付いていました。2 つの数値は別のスコア体系によるもので、矛盾していません。修正版については PHP の勧告を参照してください。

CISA

CISA の 2026 年 10 月 21 日の警報は、8.5.12、8.4.27、8.3.36、8.2.35 への即時のパッチ適用、部品として組み込まれている場所も含めた PHP の棚卸し、更新できない場合は PHP 8.1 以前を含めたオフライン化を求めています。それまでの間 WAF がある程度の防御になる可能性があるとしています。悪用については、公表時点で観測していないとしています。警報はどちらの CVE もKEV カタログに追加したとは述べていません。本サイトは 2026 年 10 月 22 日 07:20 UTC ごろ CISA KEV の JSON フィードを再確認しました。カタログ版 2026.10.21（10 月 21 日 14:04 UTC 公開）には、依然としてどちらの CVE も掲載されていません。

ENISA と EU 共同声明、CERT-EU

ENISA は深刻な PHP 脆弱性に関する共同声明を公表し、PHP セキュリティチームが 2026 年 10 月 21 日 13:40 UTC に更新を出したこと、バグにより認証なしで脆弱なサーバー上で悪意あるコードが実行され得ることを述べています。CERT-EU の勧告 2026-018 は別文書で、1.1 版は修正が 10 月 21 日 13:30 UTC に出たこと、PoC が出回り始め、攻撃者がすでに悪用している可能性が高まったことを述べ、即時のパッチ適用か、修正が適用・検証されるまでインターネット公開アプリの隔離を勧めています。13:30、13:40、14:00 UTC の時刻は各情報源の記載どおりにしています。

英国とオランダ

英国 NCSC は、古いバージョンだけでなく PHP 全般を特定し、PHP チームの堅牢化を適用し、暫定策が間に合わなければシステムをオフラインにするよう求めています。公開状態が続いたシステムでは侵害の有無を調べるよう述べ、PHP に依存するソフトウェアの NCSC-NL 一覧（NCSC-NL php2shell リポジトリ）を示しています。この一覧は棚卸しの出発点であり、掲載されていない製品が安全だという証明ではありません。

カナダ、ドイツ、日本

• カナダ サイバーセキュリティセンター AL26-026（2026 年 10 月 21 日）：両 CVE を、認証されていない攻撃者が任意のコードを実行し得る解放後使用の問題と説明。PoC が入手可能というオープンソース報道を確認したが、その時点で活発な悪用は確認していないとしています。同じ 4 つの修正版を示し、8.1 以前には公式 PHP リリースがないとしています。
• BSI 警告 2026-297981-1032（1.0 版、2026 年 10 月 21 日付）：CVSS v4.0 9.2 は、ユーザー操作なしの認証不要なリモートコード実行を意味するとしています。その時点で確認された悪用は知られていないが、未確認のエクスプロイト報告はすでにあったとしています。後の「安全宣言」ではなく、その版の公表時点の立場として読んでください。
• JPCERT/CC は 2026 年 10 月 22 日、注意喚起 JPCERT-AT-2026-0033「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」の本文を公開しました。悪用された場合は PHP の実行プロセスの権限で任意のコードを実行される可能性があること、当該製品が国内で広く利用されていることを確認していることを述べ、速やかな対策の適用と侵害有無の調査を求めています。Linux ディストリビューションが提供する PHP や PHP を使用する製品も影響を受ける可能性があるとしています。侵害調査では発見者らの情報として、過去の HTTP レスポンスで不自然に長い、または異常な形式の PHPSESSID Cookie が設定されていないか、不審な multipart/form-data リクエストの前後に PHP のメモリ上限関連のエラーや HTTP 500 エラーが出ていないか、PHP のワーカープロセスが予期せず異常終了・再起動していないかを挙げ、痕跡がなくても攻撃を受けていないとは断定できないと注意しています。注意喚起自体は JPCERT/CC としての悪用の確認には触れていません。同日朝には JVN にも 10:30 付で関連項目が掲載されました。
• IPA（情報処理推進機構）は 2026 年 10 月 22 日、PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）を公開しました。10 月 21 日の「事前準備のお願い」の続報です。CVE-2026-109618 はメモリ不足（OOM）のエラー処理、CVE-2026-109619 はリクエスト処理に起因し、遠隔の第三者による任意のコード実行につながり得るとし、同じ 4 つの修正版を挙げています。Wiz によれば PHP 5.4 以降は少なくともいずれかの影響を受けるとも引用しています。修正が提供されない PHP 8.1 以前については、サポート版や対策済み製品への移行、暫定対策やアクセス制限を求め、それが難しい場合は外部からのアクセス遮断やサービスの一時停止の判断を促しています。悪用状況についての記述はありません。

シンガポール、香港、タイ

• シンガポール サイバーセキュリティ庁（CSA）の警報 AL-2026-151（2026 年 10 月 21 日付、最終更新 10 月 22 日）：両 CVE は CVSS v4.0 9.2 で、認証不要のリモートコード実行を許し得るとしています。「既知の悪用」の項では、広範な悪用試行の報告と、複数の PoC エクスプロイトの開発があるとしています。すべての PHP バージョンが影響を受けるとし、インターネット公開システムを優先して直ちに更新すること、主サイトが PHP を使っていなくても第三者コンポーネント経由で Web サーバーに PHP が入っていないか確認することを求めています。
• 香港 HKCERT の 2026 年 10 月 22 日のセキュリティ公告一覧は「PHP の複数の脆弱性」を Extremely High Risk とし、CVE-2026-109618 と CVE-2026-109619 が実環境で悪用されていると注記しています。これは HKCERT の表現で、公告の要約は侵害されたサイト名を挙げていません。
• タイの ThaiCERT（国家サイバーセキュリティ庁 NCSA）は 2026 年 10 月 22 日 07:40 UTC に X で警報を投稿しました（投稿）。PoC が公開されたこと、同じ 4 つの修正版、PHP-FPM・Apache mod_php・php-cgi・FrankenPHP・LiteSpeed が対象であることを挙げ、ディストリビューションやパネルのパッケージはバージョン番号が変わらずに修正がバックポートされる場合があること、更新後に PHP ワーカーを再起動すること、修正済みベースイメージからコンテナを作り直すことを求めています。確認された侵害は報告していません。

Cloudflare と 10 月 22 日の試行件数

Cloudflare の 10 月 21 日のブログは、無料・有料プランの顧客向け WAF ルールが 03:02 UTC から有効だったこと、正式リリース前に脆弱性が漏れたこと、攻撃トラフィックとルールを狙ったペイロードの変化を観測したことを述べ、それでも顧客にパッチを当てるよう求めています。10 月 22 日付の Reuters の記事は Matthew Prince の X への投稿を引用しています（本サイトはその投稿自体は開いていません）。Reuters の引用では、公表前の 10 時間で数千件、公表後 45 分で数万件、2 時間以内に数十万件、投稿時点で数百万件の試行でした。同じ記事は、欧州などの政府サイトがオフラインになり、三菱 UFJ フィナンシャル・グループと日本の財務省が緊急措置として一部サービスを一時停止したと伝えています。これは停止についての記述であり、それらのサイトが PHP2Shell で侵害されたとは述べていません。

AWS と watchTowr

AWS は、MadPot が公開 4 日前の 2026 年 10 月 17 日に悪用試行を、10 月 21 日には禁輸解除前を含めてさらなる試行と PoC を観測したとしています。実システムで成功したかは不明とし、パッチ公開後は広範に悪用されていると述べていますが、これは AWS が見ていた試行のことで、侵害された Web サイトの一覧ではありません。watchTowr はハニーポットで両 CVE の活発な悪用試行を観測しているとし、SecurityWeek は watchTowr が成功した試行を観測していなかったと伝えています。

Datadog、Qualys、Tanium、Huntress

• Datadog Security Labs は両問題を独自に再現し、mod_php の経路はアプリケーションの認証では止まらないとしています。パッチ適用だけが完全な修正だとしています。本サイトは再現手順を掲載しません。
• Qualys は 2026 年 10 月 21 日付の更新で、Apache mod_php を筆頭にインターネット公開の PHP を優先するよう顧客に求めています。
• Tanium は実環境での悪用が報告されているとしつつ、執筆時点で信頼できる公開エクスプロイトはまだ少なく、10 月 21 日に確認した KEV 更新に両 CVE はなかったとしています。
• Huntress は 8.5.12、8.4.27、8.3.36、8.2.35 への即時アップデートを求め、検索で表示された部分ではパートナー全体での悪用はまだ確認していないとしています。

ディストリビューションとパネルのベンダー（概要）

Red Hat の RHSB-2026-013 は一部の更新が提供済みで、さらに作業中としています。Ubuntu はサポート中のすべてのリリースで修正を公開したとしています。cPanel は ea-php74 以降の更新を公開し、Plesk は同梱する PHP の修正が利用可能としています。詳細と限界はベンダー対応状況にあります。