php.net ではありません · NVD ではありません · CISA ではありません

PHP 脆弱性トラッカー

PHP のセキュリティ脆弱性に関する非公式ブリーフィング

English简体中文日本語DeutschFrançaisNederlandsEspañol

セキュリティ警報

PHP2Shell：PHP をアップデートしてください。それが唯一の完全な修正です。

CVE-2026-109618 と CVE-2026-109619 は、PHP 本体に存在する認証不要のリモートコード実行（RCE）の深刻な脆弱性です。PHP プロジェクトは 2026 年 10 月 21 日、サポート中の 8.2〜8.5 系に修正版を公開しました。アップデート後は PHP を再起動してください。ファイアウォールは代わりになりません。

対策の手順

PHP 8.4

PHP 8.4 は PHP2Shell の影響を受ける？

PHP セキュリティチームは、両 CVE の影響を受けるバージョンとして 8.4.27 未満の PHP 8.4 を挙げています。PHP 8.4.27 は、このブランチで両 CVE を塞ぐ最初の上流リリースです。バージョン文字列が 8.4.27 以上かどうかはプロジェクトが公表した比較方法ですが、Web サーバーがそのバイナリで再起動されたことの証明にはなりません。

最終更新

PHP 8.4 系に関する事実。出典の列はそのセルを記載しているページで、本サイトの独自見解ではありません。
事実情報源の記載出典
影響範囲8.4.27 未満の PHP 8.4oss-security
上流の修正2026 年 10 月 21 日の 8.4.27、または 8.4 系のそれ以降のリリースphp.net
両方の CVE1 つのリリースで CVE-2026-109618 と CVE-2026-109619 を塞ぎます。2 つ目のパッチ番号はありません。php.net
深刻度各 CVE とも CVSS v4.0 9.2（PHP セキュリティチームによる）oss-security
適用範囲Web リクエストを処理するインストール。PHP が最もリスクが高いとするのは Apache mod_php。PHP-FPM も対象です。php.net
対応8.4.27 以降にアップグレードし、ワーカーを再起動。CISA は即時のパッチ適用を求めています。ファイアウォールは完全な修正ではありません。CISA; php.net

バージョン文字列の読み方

メジャー.マイナー.パッチの 3 つ組を 8.4.27 と比較します。8.4 系でそれより小さいものは、セキュリティチームが挙げた範囲です。バージョン確認ツールはこの比較をブラウザ内で行いますが、ディストリビューションが古い番号のままパッケージ接尾辞付きでバックポートを出したかどうかは判別できません。このサポート中のブランチでは上流の修正自体がバージョンの引き上げなので、8.4.27 未満の 3 つ組は php.net の修正版ではありません。

パッケージをインストールしたら、管理用シェルでの php -v だけでなく、HTTP に応答する SAPI を確認してください。新しいバイナリがトラフィックを処理するよう php-fpm や Apache を再起動します。apt、dnf、Docker、cPanel、Plesk の手順は対策のページに、宝塔面板の操作は宝塔面板のページにあります。

他のブランチ

PHP 8.4 は脆弱ですか？

はい、8.4.27 より前は脆弱です。Jakub Zelenka の oss-security の投稿は、CVE-2026-109618 の影響を受けるバージョンとして 8.4.27 未満の PHP 8.4 を挙げており、CVE-2026-109619 と同じリリースで扱われています。php.net の勧告は 2 件をまとめて扱っています。

どの PHP 8.4 のバージョンで修正されますか？

2026 年 10 月 21 日に公開された PHP 8.4.27、または 8.4 系のそれ以降のリリースです。これが CVE-2026-109618 と CVE-2026-109619 の両方に対する上流の修正です。インストール後、Apache、PHP-FPM など、サイトを提供する SAPI を再起動してください。

8.4.27 で両方の CVE が修正されますか？

PHP プロジェクトは 2 件のバグに対して 1 組のリリースを公開しました。8.4 系に CVE-2026-109618 用と CVE-2026-109619 用の別々のパッチはありません。

ファイアウォールや php.ini の変更で十分ですか？

いいえ。PHP プロジェクトは、完全な修正はアップデートだけだとしています。暫定設定は特定の経路を減らすもので、対策ページに転載しています。PHP 8.4.27 の代わりにはなりません。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  5. GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
  6. GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)