php.net ではありません · NVD ではありません · CISA ではありません

PHP 脆弱性トラッカー

PHP のセキュリティ脆弱性に関する非公式ブリーフィング

English简体中文日本語DeutschFrançaisNederlandsEspañol

セキュリティ警報

PHP2Shell：PHP をアップデートしてください。それが唯一の完全な修正です。

CVE-2026-109618 と CVE-2026-109619 は、PHP 本体に存在する認証不要のリモートコード実行（RCE）の深刻な脆弱性です。PHP プロジェクトは 2026 年 10 月 21 日、サポート中の 8.2〜8.5 系に修正版を公開しました。アップデート後は PHP を再起動してください。ファイアウォールは代わりになりません。

対策の手順

時系列

PHP2Shell の時系列：情報漏えい、パッチ、悪用の試行

以下の時刻は引用元の記載どおりです。ENISA の 13:40 UTC と AWS の 14:00 UTC の禁輸時刻は、両方の文書が存在するため併記しています。本サイト自身のセンサーによるインシデントログではありません。

最終更新

  1. 2024 年、その後 2026 年 8 月

    初期の兆候に関する PHP Foundation の説明

    The Record によると、PHP Foundation はバグの兆候が 2024 年に表れ、2026 年 8 月に AI によるレビューで初めて警戒が高まったと述べています。本サイトは The Record の記事以上にこの内部の経緯を再構成していません。

  2. 2026 年 10 月 17 日

    禁輸期間中の AWS MadPot での試行

    Amazon Threat Intelligence によると、ハニーポットが商用の匿名化ネットワークに関連するアドレスから PHP2Shell の悪用試行を観測しました。AWS は、これは公開の 4 日前で、エクスプロイト情報がどう漏れたかは不明としています。実システムで成功したかも不明としています。

  3. 2026 年 10 月 20 日

    漏えい報道と緊急リリースの告知

    watchTowr の FAQ は 19:35 UTC 公開とされ、その時点ではベンダーの発表を 10 月 22 日と見込んでいました。Tanium によると、10 月 20 日に詳細が漏れた後 PHP が緊急リリースを告知し、CERT-EU がインターネット公開の PHP アプリの隔離を勧める勧告 2026-018 を出しました。この点は Tanium の説明としてのみ記載します。ThreatCluster は、定例外のリリースが 10 月 21 日 14:00 UTC として 10 月 20 日に告知され、リリースの数時間前に技術的詳細が漏れたとしています。

  4. 2026 年 10 月 21 日 02:00〜08:00 UTC

    禁輸解除前の PoC エクスプロイト

    AWS によると、確認した最も早い PoC は 02:00 UTC 頃に現れ、約 08:00 UTC まで別の匿名化インフラから MadPot への試行が続きました。ペイロードとインフラが異なることから、AWS は複数の攻撃者がいると見ています。実システムでの成功は不明とされています。

  5. 2026 年 10 月 21 日 03:02 UTC

    Cloudflare の WAF ルールがすでに有効

    Cloudflare によると、03:02 UTC から無料・有料の WAF 顧客がデフォルトで保護されました。Cloudflare の説明では公開の約 9 時間前で、ルールは 10 月上旬から PHP Foundation、Wiz、OpenAI と開発されていました。Cloudflare は攻撃トラフィックとルールを狙ったペイロードの変化を観測したとしています。

  6. 2026 年 10 月 21 日 13:40 と 14:00 UTC

    パッチ公開

    ENISA の共同声明は、PHP セキュリティチームが 13:40 UTC に更新を出したとしています。AWS は禁輸が 14:00 UTC に設定され、その時刻にリリースされたとしています。php.net、PHP Foundation、CISA、カナダ サイバーセンターはいずれも修正版を 8.5.12、8.4.27、8.3.36、8.2.35 としています。Tanium は 13:47 UTC の Windows ビルドと 14:17 UTC の NVD レコード（分析中）にも触れていますが、本サイトはこの 2 つの時刻を独自に確認していません。

  7. 2026 年 10 月 21 日、同日のその後

    政府の警報と悪用に関する主張

    CISA、ENISA、英国 NCSC、カナダ サイバーセンターが警報を公開。CISA は公開時点で悪用を観測していないとしました。カナダのセンターは PoC に関するオープンソース報道に触れつつ、その時点で活発な悪用は確認していないとしました。watchTowr はセンサーで試行を報告し、SecurityWeek はそれらのセンサーで成功した悪用は見られなかったとしています。Expel の 20:00 UTC の状況では KEV 未掲載、顧客での悪用は未確認でした。AWS は禁輸後、広範に悪用されていると述べていますが、これは新しい PoC を使った試行のことで、同じ投稿の前半で実システムでの成功の確認とは区別しています。

  8. 2026 年 10 月 22 日

    本サイトの締め切り

    同日の watchTowr FAQ 更新でも CISA KEV は未掲載のままです。本サイトのページは 2026 年 10 月 22 日に入手できた情報源に基づいています。その後 KEV への追加や侵入確認の報告があれば、CISA と PHP プロジェクトの勧告がこの時系列より優先されます。

個々の時刻が異なっても、AWS が導く実務上の結論は覚えておく価値があります。公開日を最初の悪用日と思い込まないこと、そしてインターネットに公開されたこの種の深刻な欠陥に 1 週間の猶予を見込まないことです。このソフトウェアが公開されていたなら、少なくとも 10 月 17 日以降を調査してください。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

  1. PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
  2. PHP2Shell: responding to CVE-2026-109618 and CVE-2026-109619 — Tanium
  3. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  4. Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
  5. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
  6. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  7. Joint statement on critical PHP vulnerabilities — ENISA
  8. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  9. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  10. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  11. Critical security issue affecting PHP — UK NCSC
  12. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
  13. PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
  14. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  15. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research