PHP2Shell とは？PHP に見つかった 2 件の深刻な RCE 脆弱性

PHP プロジェクトが示すリスク範囲

php.net の 10 月 21 日の勧告は、Web リクエストを処理するすべての PHP インストールを対象とし、PHP-FPM、mod_php の Apache、php-cgi、FrankenPHP、LiteSpeed を挙げています。最もリスクが高いのは mod_php で、実証済みのエクスプロイトにより、アプリケーションコードが動く前に認証なしのリクエストで攻撃を引き起こせるとしています。この経路ではアプリ側の対策は役に立ちません。

同じ勧告は、完全な解決策はアップデートだけだとしています。暫定設定は特定の経路への露出を減らすだけで、インストールを安全にはしません。CISA の結論も同じで、すぐにパッチを当て、更新できなければ PHP 8.1 以前を含む PHP ベースのシステムをオフラインにするよう求めています。

2 つのバグの違い

どちらもほぼすべてのリクエストが通るコードにあります。PHP Foundation は、CVE-2026-109618 をメモリ不足時の処理により内部データが初期化途中のまま残り、後で有効なものとして扱われる問題と説明しています。CVE-2026-109619 は、悪いタイミングの致命的エラーで内部状態が前のリクエストのメモリを指したまま残り、同じワーカーの後続リクエストが解放済みメモリを使う問題です。Wiz と Cloudflare は、RCE とサービス拒否に加え、他のリクエストの秘密情報を含み得るプロセスメモリの漏えいも挙げています。本ページはエクスプロイトの構築方法を扱いません。

• CVE-2026-109618OOM 時の破損。CVSS v4.0 9.2。GHSA-w8hw-w9fx-j79w。
• CVE-2026-109619古いグローバル状態。CVSS v4.0 9.2。GHSA-6wmf-4rv5-p3rp。

対象バージョン

出回っている範囲は一致しておらず、ひとつにまとめるとベンダーが公表していない精度をでっち上げることになります。PHP セキュリティチームの oss-security の投稿は、CVE-2026-109618 の対象を 8.2.35 未満の 8.2、8.3.36 未満の 8.3、8.4.27 未満の 8.4、8.5.12 未満の 8.5 としています。これがリリースパッケージを受け取ったブランチです。プロジェクトは 8.1 以前は上流サポート外であり、7.4、8.0、8.1 向けに最小限のソースバックポートを公開したとも述べています。

Wiz は、5.4 までさかのぼる過去約 10 年のすべての PHP が少なくとも一方の影響を受けるとしています。Google Cloud は 5.4〜8.5.11、Cloudflare は PHP 5.4 以降としています。勧告前の 10 月 20 日に公開された watchTowr の FAQ は PHP 5、7、8 としていました。Expel は、バックポートの存在が 7.4、8.0、8.1 の影響を示す一方、7.3 以前について PHP は明言していないとし、Web に公開しているサポート終了の PHP はリスクがあるとみなすよう勧めています。バージョン表でこれらを並べて示しています。

悪用：試行であり、確認された侵害数ではない

• AWS によると、MadPot ハニーポットは公開 4 日前の 2026 年 10 月 17 日に、商用の匿名化ネットワークに関連する IP から悪用の試行を記録しました。10 月 21 日には禁輸解除の数時間前を含め、さらなる試行と PoC が現れましたが、実システムで成功したかは不明としています。パッチ公開後、AWS は広範な悪用試行を報告しています。
• Cloudflare は、正式公開前に詳細が漏れた後に攻撃トラフィックを観測し、攻撃者が WAF ルールを回避しようとペイロードを変化させたと述べています。確認した投稿では成功した侵害の件数は公表していません。
• watchTowr は両 CVE の活発な悪用試行を観測しているとしています。SecurityWeek によれば、watchTowr は成功した試行を観測していませんでした。
• CISA の 10 月 21 日の警報は、公開時点で悪用を観測していないとしつつ、即時のパッチ適用を求めています。
• Expel は 2026 年 10 月 21 日 20:00 UTC 時点で、顧客環境での悪用は確認しておらず、どちらの CVE もCISA KEV カタログに未掲載だったとしています。10 月 22 日更新の watchTowr FAQ も KEV 未掲載としており、Tanium も 10 月 21 日 14:04 UTC の KEV 更新に両 CVE はなかったとしています。本サイトは 2026 年 10 月 22 日 07:20 UTC ごろ CISA KEV の JSON フィードを再確認しました。カタログ版 2026.10.21（10 月 21 日 14:04 UTC 公開）には、依然としてどちらの CVE も掲載されていません。

公開された PoC コードの存在は AWS、カナダ サイバーセンター（オープンソース報道として）、Expel が報告しています。Expel は出回っているコードは未検証で、一部は悪意のあるものの可能性があると付け加えています。本サイトはリンクも転載もしません。

規模を慎重に見る

Wiz は PHP が Web サイトの大多数を支えているとし、Cloudflare はほぼ 70% としています。これはサイトの割合であり、悪用可能なサーバーの数ではありません。The Record が伝えるインターネット公開ホストの推定は VirusTotal 分析による約 510 万 IP アドレスで、トップページの注意書きが当てはまります。ThreatCluster は、識別された PHP サーバーのおよそ 5 台に 4 台はバージョン文字列を返さないとしています。

PHP はアプライアンスやホスティングパネルにも組み込まれています。英国 NCSC は、PHP に依存する製品の NCSC-NL の一覧を出発点として挙げていますが、完全な調査ではありません。Google Cloud は自社プラットフォーム自体は脆弱ではないとしつつ、App Engine、Cloud Run、GKE、Marketplace イメージで PHP を動かす顧客は影響を受け得るとしています。

発見の経緯（当事者の説明）

Wiz Research は、欠陥が 10 年以上存在し、最先端のモデルによってエクスプロイトチェーンが現実的になったとしています。Google Cloud は Wiz の功績を認め、Gemini 4 Argon が発見、エクスプロイト開発、検知、パッチ検証に貢献したとしています。The Record によれば、PHP Foundation は 2026 年 8 月に AI によるレビューで最初に警戒が高まり、兆候は 2024 年に表れていたと述べています。いずれも関係組織による説明であり、対策は変わりません：アップデートです。