php.net ではありません · NVD ではありません · CISA ではありません

PHP 脆弱性トラッカー

PHP のセキュリティ脆弱性に関する非公式ブリーフィング

English简体中文日本語DeutschFrançaisNederlandsEspañol

セキュリティ警報

PHP2Shell：PHP をアップデートしてください。それが唯一の完全な修正です。

CVE-2026-109618 と CVE-2026-109619 は、PHP 本体に存在する認証不要のリモートコード実行（RCE）の深刻な脆弱性です。PHP プロジェクトは 2026 年 10 月 21 日、サポート中の 8.2〜8.5 系に修正版を公開しました。アップデート後は PHP を再起動してください。ファイアウォールは代わりになりません。

対策の手順

ベンダー対応状況

PHP2Shell のベンダー対応状況：修正済みのベンダーと調査中のベンダー

以下は各ベンダーが自社製品について表明した内容で、2026 年 10 月 22 日に確認したものです。ディストリビューションに修正済みパッケージがあっても、サーバー上のすべての PHP バイナリがそのディストリビューション由来とは限りません。「影響を受ける製品は知られていない」は調査の状況の報告であり、恒久的な結論ではありません。

最終更新

ベンダー自身の表現による状況。日付は文書の日付です。
ベンダーベンダーの表明文書の日付
Cisco影響を受け得る製品とクラウドサービスを調査中。公表時点で影響が知られている製品はなく、「脆弱でないことを確認」の欄も空でした。PSIRT は Cisco に対する悪用を認識していないとしています。バグに対処する回避策はありません。初出 2026 年 10 月 21 日 19:12 GMT
Red Hat一部修正済み。RHSB-2026-013 は修正を急いでおり、一部更新は提供済み、追加の更新は作業中としています。RHEL 10、9、8、OpenShift Dev Spaces 3 が直接影響を受けると記載。標準の RHEL の PHP-FPM は mod_php より悪用が難しいとしています。RHSA-2026:87151（RHEL 9 php）、RHSA-2026:87080（RHEL 8 php）、RHSA-2026:87079（RHEL 9 php:8.3）などのエラータが両 CVE を挙げています。調査は継続中です。2026 年 10 月 21 日公開
Ubuntuサポート中のリリースで修正済み（Ubuntu Pro と 14.04 の php5 までの旧 ESM ビルドを含む）。例：24.04 の php8.3 は 8.3.6-0ubuntu0.24.04.13、22.04 の php8.1 は 8.1.2-1ubuntu2.28、26.04 の php8.5 は 8.5.4-0ubuntu1.5。上流のバージョン番号は変わらないことが多いです。アップグレード後は PHP に依存するサービスを再起動してください。2026 年 10 月 21 日のブログ
Debian安定版で修正済み。DLA-4848-1：Debian 12 bookworm の php8.2 8.2.35-1~deb12u1（Debian LTS）。DSA-6574-1：Debian 13 trixie の php8.4 8.4.27-1~deb13u1。10 月 22 日時点でセキュリティトラッカーは testing（forky）の php8.4 8.4.26-1 をまだ脆弱としていました。勧告 2026 年 10 月 21 日
cPanelcPanel が挙げるビルドで修正済み。ea-php82 8.2.35、ea-php83 8.3.36、ea-php84 8.4.27、ea-php85 8.5.12 に加え、バックポートの ea-php74 7.4.33-19、ea-php80 8.0.30-12、ea-php81 8.1.34-5。修正済みの cPanel & WHM は 11.110.0.153、11.134.0.66、11.136.0.50、11.138.0.18 など。7.4 より古い PHP は TuxCare ELS を案内。CloudLinux の表は CloudLinux の状況ページに委ねています。2026 年 10 月 22 日更新
Plesk修正済み（古いブランチはビルド日に注意）。Linux と Windows で PHP 8.2.35、8.3.36、8.4.27、8.5.12 の修正が利用可能。サポート終了の 7.4.33、8.0.30、8.1.34 はバージョン番号が変わらず、2026 年 10 月 21 日付のビルドに修正が含まれます。パネル自身の sw-engine は Plesk Obsidian 18.0.81 Update 4 と 18.0.80 Update 11 で修正。10 月 21 日の PHP リリースを引用したベンダー記事
SophosSophos 製品：影響なし。勧告 sophos-sa-20261021-php2shell は影響を受ける製品はなく対応不要としています。別途、旧 MyUTM ライセンスポータルが影響のある PHP を使っていたため 10 月 21 日にオフラインにし、ログ調査ではこれまで悪用の証拠は見つかっていないとしています（調査継続中）。2026 年 10 月 21 日更新
Palo Alto Networks影響あり、PAN-OS の修正は未提供。勧告は PAN-OS 12.2、12.1、11.2、11.1、10.2（全バージョン）と Panorama を影響ありとし、修正版は「ETA: TBD」です。Prisma Access、Cloud NGFW、GlobalProtect App、Cortex 製品、Prisma Cloud は影響なし。修正までは Threat Prevention の顧客に Threat ID 543004 と 97622〜97625（コンテンツ 9162 以降）の有効化を求めていますが、管理インターフェースを守るには受信トラフィックをデータプレーンのポート経由にして復号・検査する必要があります。同社は自社製品への悪意ある悪用は認識していないとしています。Unit 42 の解説は PoC を確認したこと、少なくとも 1 つの欧州政府が予防的に Web サイトをオフラインにしたことを述べています。2026 年 10 月 21 日公開、10 月 21 日 23:33 UTC 更新
AWSAWS の告知 2026-143-AWS によると、AWS のサービス自体は影響を受けませんが、対象サービス上で影響を受ける PHP を動かしている顧客は影響を受ける可能性があります。Amazon WorkMail：設定レベルの制御を適用済みで、PHP 8.3.36 への更新は 10 月 22 日が目標、顧客の対応は不要。Elastic Beanstalk：10 月 21 日リリースの PHP プラットフォーム v4.13.12 が両 CVE に対処し、上流の PHP 修正を含む後続のプラットフォームリリースは 10 月 22 日が目標。マネージドプラットフォーム更新を有効にした環境は次のメンテナンスウィンドウで適用され、それ以外は環境のプラットフォームバージョンを自分で更新する必要があります。Amazon Linux：商用リージョン向けの更新済み PHP パッケージは提供済み、非商用リージョンは 10 月 22 日が目標。パッケージごとの状況は Amazon Linux Security Center を参照。Lightsail：更新版ブループリントは 10 月 21 日に提供予定。AWS は稼働中のインスタンスをその場で更新できないため、更新版ブループリントから新しいインスタンスを作って移行します。PHP 5.4〜8.1 には上流の修正がなく、AWS はサポート対象ブランチへの移行を求めています。2026 年 10 月 21 日 14:30 PDT 公開、20:30 PDT（10 月 22 日 03:30 UTC）最終更新

「修正済み」の読み方

Ubuntu の修正済み 24.04 パッケージは、パッケージのリビジョンが新しくなっただけで PHP 8.3.6 のままです。Plesk の修正済み 7.4、8.0、8.1 ビルドはバージョン番号が同じでビルド日が変わります。php -v を 8.3.36 と比べると、これらのホストを誤判定します。ベンダーが公表したパッケージ文字列やビルド日を使い、HTTP に応答する SAPI を再起動してください。バージョン確認ツールは上流のリリース番号を比べるだけで、バックポートは認識しません。

著名サイトの侵害に関する公開情報はありません

2026 年 10 月 22 日時点で、本ページで確認した情報源に、著名な Web サイトが PHP2Shell で侵害されたという公開情報は含まれていません。Reuters は Cloudflare を引用して数百万件の悪用試行を報じ、欧州などの政府サイトのオフライン化や、三菱 UFJ フィナンシャル・グループと日本の財務省での一時的なサービス停止を、運用者による緊急措置として伝えています。Sophos は、オフラインにした MyUTM ポータルでこれまで悪用の証拠はないとしています。AWS は観測した試行が実システムで成功したかは不明とし、CISA は 10 月 21 日の警報時点で悪用を観測していないとしました。被害者名の公表がないことは侵害が起きていない証拠ではなく、これらの情報源が公表した内容についての記述です。

Microsoft Azure App Service

Linux の組み込みイメージでサポート中の PHP は修正済み。App Service チームによると、PHP 8.2.35・8.3.36・8.4.27・8.5.12 のイメージは 2026 年 10 月 21 日に Latest と Standard のプラットフォームリリースチャネルに届き、Extended は最後です。カスタムコンテナー、独自の PHP、サポート終了の PHP、Alpine ベースの WordPress イメージは修正されません。手順は Azure App Service のページへ。

スコアについて：Azure の投稿は PHP セキュリティチームによる両 CVE の CVSS v4.0 9.2 と、10 月 21 日 14:00 UTC の公開時刻を引用しています。NVD の CVE-2026-109618 の主要スコアは CVSS v3.1 9.8 です（NVD）。同じ欠陥を別の CVSS バージョンで評価したものです。

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

  1. Vulnerabilities in PHP affecting Cisco products: October 2026 — Cisco
  2. 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
  3. RHSB-2026-013 php2shell request-handling memory corruption — Red Hat
  4. php2shell — PHP critical vulnerability fixes available — Ubuntu
  5. DLA-4848-1: php8.2 security update (Debian 12 bookworm) — Debian LTS
  6. DSA-6574-1: php8.4 security update (Debian 13 trixie) — Debian
  7. Critical PHP security release — CVE-2026-109618 and CVE-2026-109619 — cPanel
  8. Remote code execution in PHP shipped with Plesk — Plesk
  9. Advisory: PHP2Shell vulnerabilities (sophos-sa-20261021-php2shell) — Sophos
  10. Impact of critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks products — Palo Alto Networks
  11. Threat brief: critical vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Palo Alto Networks Unit 42
  12. Cloudflare sees millions of exploit attempts after PHP disclosure, 22 October 2026 — Reuters (syndicated text)
  13. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  14. Critical PHP security release: what it means for Azure App Service on Linux — Microsoft Azure App Service team
  15. CVE-2026-109618 — NVD
  16. CVE-2026-109618 — NVD
  17. CVE-2026-109618 — NVD
  18. CVE-2026-109618 — NVD
  19. CVE-2026-109618 — NVD
  20. CVE-2026-109618 — NVD
  21. CVE-2026-109618 — NVD