php.net ではありません · NVD ではありません · CISA ではありません

PHP 脆弱性トラッカー

PHP のセキュリティ脆弱性に関する非公式ブリーフィング

English简体中文日本語DeutschFrançaisNederlandsEspañol

セキュリティ警報

PHP2Shell：PHP をアップデートしてください。それが唯一の完全な修正です。

CVE-2026-109618 と CVE-2026-109619 は、PHP 本体に存在する認証不要のリモートコード実行（RCE）の深刻な脆弱性です。PHP プロジェクトは 2026 年 10 月 21 日、サポート中の 8.2〜8.5 系に修正版を公開しました。アップデート後は PHP を再起動してください。ファイアウォールは代わりになりません。

対策の手順

FAQ

PHP2Shell よくある質問：PHP の RCE について運用担当者が知りたいこと

回答は下部にリンクした公開情報源に基づいています。情報源の見解が分かれる場合は、平均をとらずにそのまま示します。

最終更新

PHP の脆弱性 PHP2Shell に自分のサイトは影響を受けますか？

PHP 8.2〜8.5 で Web リクエストを処理している場合、8.2.35、8.3.36、8.4.27、8.5.12 をインストールしてワーカーを再起動するまでは影響を受けます。PHP 8.1 以前には公式リリースがありません。php -v や phpinfo() で実際に動いているバージョンを確認してください。

PHP2Shell とは何ですか？

PHP ランタイムの 2 件の深刻な脆弱性 CVE-2026-109618 と CVE-2026-109619 の総称です。PHP プロジェクトによると、Web リクエストを処理する PHP で認証不要のリモートコード実行を許す可能性があります。CISA はこの通称を「php2shell」と表記しています。

修正版はどれですか？

PHP 8.5.12、8.4.27、8.3.36、8.2.35、またはそれぞれのブランチのそれ以降です。2026 年 10 月 21 日に公開されました。PHP 8.1 以前には公式リリースがなく、7.4、8.0、8.1 向けに最小限のソースバックポートがあるだけです。

完全な修正はアップグレードだけですか？

はい。PHP プロジェクトと AWS はそう述べています。memory_limit の変更、post_max_size の縮小、セッションのアップロード進捗の無効化、WAF は暫定策で、PHP はこれらでインストールが安全になるわけではないとしています。

mod_php と PHP-FPM の両方が影響を受けますか？

PHP は両方に加え、php-cgi、FrankenPHP、LiteSpeed も挙げています。最もリスクが高いのは mod_php で、アプリケーションコードの実行前に認証不要のエクスプロイトが実証されています。FPM も対象です。PHP Foundation と oss-security の投稿は FPM について少しずつ異なる強調をしていますが、どちらも FPM にパッチを当てるよう求めています。

実際に悪用されていますか？

試行は、AWS、Cloudflare、watchTowr によれば起きています。AWS はハニーポットでの試行を公開 4 日前の 2026 年 10 月 17 日としています。実際の本番システムの侵害成功は、CISA の警報、SecurityWeek が伝える watchTowr のセンサー、AWS の投稿（実システムでの成功は不明としています）、10 月 21 日 20:00 UTC 時点の Expel の顧客向け通知のいずれでも確認されていません。

CISA の既知の悪用された脆弱性（KEV）カタログに掲載されていますか？

Expel は 2026 年 10 月 21 日 20:00 UTC 時点でどちらも未掲載だとしています。Tanium は同日 14:04 UTC のカタログ更新でどちらも掲載されていなかったと説明しています。10 月 22 日更新の watchTowr FAQ もまだ未掲載としています。最新のカタログを確認してください。本サイトはアクセスのたびに再確認はしていません。

PHP 5 を含む PHP 8.1 以前はどうですか？

10 月 21 日の公式リリースはありません。Wiz、Google Cloud、Cloudflare は PHP 5.4 から未修正の 8.5 ビルドまでを影響ありとしています。watchTowr は PHP 5 以降としています。Expel は、確認した資料で PHP が 7.3 以前を明言していないと指摘しつつ、Web 上のサポート終了 PHP はリスクありとみなすよう述べています。アップグレードするか、オフラインにしてください。

WAF はパッチの代わりになりますか？

なりません。CISA は WAF がパッチ適用までの間ある程度の防御になる可能性があるとしています。Cloudflare はルールを展開したうえで、顧客にパッチを当てるよう求めています。PHP プロジェクトは、完全なのはアップデートだけだとしています。

どれくらいのサーバーが公開されていますか？

The Record は、PHP を動かす約 510 万の IP アドレスに関する VirusTotal の分析を伝えていますが、これは脆弱性が確認された 510 万ホストではありません。ThreatCluster によると、そのうちバージョンを示すのは約 110 万です。Wiz と Cloudflare は別途、Web サイトに占める PHP の割合を約 70% としています。これらは異なる測定です。

エクスプロイトコードや PoC を掲載していますか？

していません。公開報道によれば PoC コードは存在します。Expel は、出回っているコードの一部は未検証で悪意がある可能性があると警告しています。本サイトは勧告にリンクするだけで、ペイロードや攻撃手順は掲載しません。

これは PHP、NVD、CISA の公式サイトですか？

違います。phpvulnerabilities.app は独立したブリーフィングで、PHP Group、php.net、NVD、NIST、CISA とは関係ありません。行動する前にリンク先の勧告を読み、本サイトと食い違う場合はそちらを優先してください。

今日パッチを当てられない場合は？

CISA の助言は、更新できるまでインターネットに公開している PHP、特に PHP 8.1 以前をオフラインにすることです。短期間どうしても稼働させる必要があるなら、対策ページの不完全な設定を適用し、WAF を前に置き、30 日のパッチ期間ではなく数時間単位でアップグレードを計画してください。最後の点は今回の事例からの AWS の教訓であり、数時間で常に十分という保証ではありません。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  3. Known Exploited Vulnerabilities catalog — CISA
  4. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
  5. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  6. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  7. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  8. PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
  9. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  10. Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
  11. PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record