php.net ではありません · NVD ではありません · CISA ではありません

PHP 脆弱性トラッカー

PHP のセキュリティ脆弱性に関する非公式ブリーフィング

English简体中文日本語DeutschFrançaisNederlandsEspañol

セキュリティ警報

PHP2Shell：PHP をアップデートしてください。それが唯一の完全な修正です。

CVE-2026-109618 と CVE-2026-109619 は、PHP 本体に存在する認証不要のリモートコード実行（RCE）の深刻な脆弱性です。PHP プロジェクトは 2026 年 10 月 21 日、サポート中の 8.2〜8.5 系に修正版を公開しました。アップデート後は PHP を再起動してください。ファイアウォールは代わりになりません。

対策の手順

サポート終了

PHP 5〜8.1 は PHP2Shell の影響を受ける？修正するバージョンは？

PHP 8.1 以前でこの 2 件の CVE を修正する公式 PHP リリースはありません。PHP プロジェクトが公開したのは 7.4、8.0、8.1 向けの最小限のソースバックポートだけです。それより下については引用した記事の範囲が一致しないため、本ページは相違をひとつにまとめずに残しています。

最終更新

各セルは意図的に食い違っています。行を範囲として扱う前に出典の列を確認してください。
主張その情報源の記載出典
PHP がリリースで修正したブランチ8.2.35 未満の 8.2、8.3.36 未満の 8.3、8.4.27 未満の 8.4、8.5.12 未満の 8.5oss-security
PHP 8.1 以前PHP プロジェクトによる更新は終了。ソースからビルドする人向けに 7.4、8.0、8.1 の最小限のソースバックポートのみ。php.net
Google Cloud の下限PHP 5.4 から 8.5.11 までのすべてのバージョンGoogle Cloud
Cloudflare の下限PHP 5.4 以降Cloudflare
Wiz問題は PHP 5.4 までさかのぼり、過去 10 年のほぼすべてのバージョンが少なくとも一方の影響を受けるWiz
watchTowr（10 月 20 日の FAQ）PHP 5、7、8 全体。正式な勧告の前に書かれたものです。watchTowr FAQ
Expel による訂正バックポートは 7.4、8.0、8.1 の影響を示す。Expel が確認した資料では PHP は 7.3 以前を明言していない。Expel
更新できない場合PHP 8.1 以前を明示的に含め、システムをオフラインにするCISA
PHP のリリースではない宝塔の Linux 向けパッケージ 7.4.34、8.0.31、8.1.35 はパネルのビルド。告知は両方の修正を含むとしています。Windows にはこの 3 つのパッケージはありません。宝塔の告知

これらのブランチで「修正済み」が意味しうること

8.1.34 や 7.4.33 のようなバージョン番号では、ディストリビューションのバックポートが入っているかはわかりません。そのため確認ツールはこれらをサポート終了と判定します。cPanel と Plesk は独自のビルド識別子を公開しており、ベンダーのページにまとめています。宝塔の番号は 宝塔面板のページにのみ記載し、7.4、8.0、8.1 について主張されているのは Linux 向けパッケージだけです。

このページから抜け出すサポートされた方法は、8.2.35、8.3.36、8.4.27、8.5.12 へのアップグレードです。5.4 より前の PHP 5 は Wiz、Google Cloud、Cloudflare の記述では下限ではありませんが、インターネットに残してよいバージョンでもありません。

サポート中のブランチ

PHP 8.1 は影響を受けますか？

PHP は 2026 年 10 月 21 日に 8.1 のリリースを出していません。8.1 向けの最小限のソースバックポートは公開しており、これは 8.1 が対象だった証拠ですが、php.net からインストールできるパッケージではありません。CISA は、更新できなければ PHP 8.1 以前をオフラインにするよう求めています。ベンダーのビルドは上流のバージョン番号を変えずにバックポートを含められるため、バージョン確認ツールでは判別できません。

PHP 7.4 や 8.0 は影響を受けますか？

8.1 と同じ形です。新しい公式リリースはなく、両方に最小限のソースバックポートがあります。Expel はバックポートを根拠に 7.4、8.0、8.1 を影響ありとしています。8.2.35 以降へアップグレードするか、具体的に名前を挙げられるベンダーのバックポートを確認してください。

PHP 5.4 や PHP 7.3 以前は影響を受けますか？

Wiz、Google Cloud、Cloudflare は PHP 5.4 から修正前の最後の 8.5 ビルドまでの影響を説明しています。勧告前の watchTowr FAQ は PHP 5、7、8 全体としていました。Expel は、確認した資料で PHP が 7.3 以前を明言していないとしています。これは見解の相違であり、安全という意味ではありません。これらをインターネットに残さないでください。

PHP 5〜8.1 を修正するバージョンは？

これらの系列には修正する公式 PHP バージョンはありません。サポート中の修正版は 8.2.35、8.3.36、8.4.27、8.5.12 です。一部ベンダーは独自パッケージを出しており、宝塔の Linux 向け告知は 7.4.34、8.0.31、8.1.35 を挙げていますが、これらは PHP プロジェクトのリリースではありません。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  5. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  6. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  7. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  8. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  9. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  10. PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)