PHP開発チームは2026年10月21日、リモートコード実行につながる重大な脆弱性を修正したセキュリティアップデートを公開しました。

今回の脆弱性は「PHP2Shell」と呼ばれ、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）が確認されています。悪用された場合、認証されていない第三者が、PHPを実行するサーバー上で任意のコードを実行するおそれがあります。

また、10月23日には、特定の設定とプログラムの組み合わせでリモートコード実行につながる別の問題（CVE-2026-115560）も公表されました。

10月29日時点では、PHP2Shellに対する実証コードの公開や攻撃を試みる通信が報告されており、IPAも注意を呼びかけています。

PHPを利用しているWebサイトやサーバーの管理者は、利用中のバージョンを確認し、速やかに対策を実施してください。

PHP2Shellの脆弱性について

今回確認されたPHP2Shellは、PHPのメモリ不足時のエラー処理や、リクエスト処理に関連する2件の脆弱性です。

主な脆弱性は以下のとおりです。

  • CVE-2026-109618：メモリ不足（OOM）のエラー処理に起因するメモリ破損の問題
  • CVE-2026-109619：リクエスト処理において、解放済みメモリに関連する古い内部状態が利用される問題

いずれも、悪用された場合にリモートコード実行につながる可能性があります。PHP開発チームが公表したCVSS v4.0の評価は、それぞれ9.2となっています。

これらの脆弱性は、PHPをWebリクエストの処理に使用している環境に影響します。Apacheのmod_phpやPHP-FPM、php-cgiなどが対象となり、特にmod_phpについては、アプリケーションのコードが実行される前に攻撃を受ける可能性が指摘されています。

影響を受けるPHPのバージョン

PHP開発チームは、以下の修正済みバージョンを公開しています。

PHPの系列修正済みバージョン
PHP 8.5系8.5.12
PHP 8.4系8.4.27
PHP 8.3系8.3.36
PHP 8.2系8.2.35

上記の各系列で、記載したバージョンより前のバージョンが対象となります。

PHP 8.1以前については、通常のPHP開発チームによるセキュリティ更新の対象外となっているため、OSやパッケージの提供元が修正を提供しているか確認するとともに、サポート中のPHPへの移行を検討してください。

なお、PHPを組み込んだソフトウェアや、Linuxディストリビューションが提供するPHPを利用している場合は、各提供元のセキュリティ情報も確認する必要があります。

脆弱性を悪用した攻撃に注意

今回の脆弱性については、修正方法の公開後、脆弱性を悪用できるとする実証コードが複数公開され、攻撃を試みる通信も報告されています。

さらに、2026年10月26日には、CVE-2026-109618とCVE-2026-109619が米国CISAのKEVカタログに追加されました。KEVカタログは、実際に悪用されたことが確認されている脆弱性を掲載するものです。

IPAは10月27日の更新情報で、国内での攻撃被害事例は把握していないとしつつ、修正済みバージョンへの移行と、侵害の有無の調査を呼びかけています。

脆弱性が存在する環境では、Webサイトの改ざんやサーバー上での不正なプログラム実行などにつながるおそれがあります。インターネットに公開しているサーバーでは、優先して対策を進めましょう。

追加で公表された脆弱性「CVE-2026-115560」にも注意

PHP開発チームは10月23日、セッションのアップロード進捗機能に関連する別のリモートコード実行の脆弱性についても情報を公開しました。

この問題は、特定のセッション設定を行い、プログラム実行中にシリアライズ方式を変更するなど、通常とは異なる設定とコードの組み合わせで発生する可能性があります。

PHP開発チームは、次回の通常のバグ修正リリースまで、以下の設定を無効にすることを推奨しています。

session.upload_progress.enabled = 0

この設定は、PHPのセッションアップロード進捗機能を無効にするものです。PHP2Shellに関連するCVE-2026-109619の暫定対策としても案内されています。

すでにこの設定を適用している場合は、引き続き無効の状態を維持してください。

なお、この問題は特定の構成で発生するものであり、すべてのPHP環境が同じ条件で影響を受けるわけではありません。ただし、PHP2Shellの修正済みバージョンに更新しただけでは、この追加の問題への対策が完了したことにはならないため注意が必要です。

PHPの脆弱性への対策方法

PHPを利用しているサーバーでは、以下の対応を進めてください。

  1. 現在利用しているPHPのバージョンを確認する。
  2. OSやパッケージの提供元が公開している情報を確認する。
  3. 対応する修正済みバージョンへアップデートする。
  4. 追加の脆弱性に備え、必要に応じてセッションアップロード進捗機能を無効にする。
  5. 更新後、Webサイトの表示やプログラムの動作を確認する。
  6. Webサーバーのアクセスログなどを確認し、不審な通信や侵害の痕跡がないか調査する。

アップデート前には、設定ファイルやデータベースを含むバックアップを取得し、利用しているアプリケーションとの互換性を確認しておくことをおすすめします。

また、サポートが終了したPHPを利用している場合は、単にバージョン番号を確認するだけでは十分ではありません。利用しているOSやパッケージの提供元が修正を提供しているか確認し、必要に応じてサポート中の環境への移行を検討してください。

まとめ

2026年10月29日時点で、PHPではリモートコード実行につながる重大な脆弱性「PHP2Shell」への対応が重要となっています。

修正済みバージョンが公開されている一方、脆弱性を悪用するための実証コードや攻撃を試みる通信が報告されており、CISAのKEVカタログにも登録されています。

さらに、特定の設定で影響するCVE-2026-115560も公表されています。

PHPを利用しているWebサイトやサーバーの管理者は、利用中のバージョンと設定を確認し、修正プログラムの適用や必要な暫定対策を速やかに実施しましょう。

参考情報

はじめてのVPSにさくらVPS
レンタルサーバーより高い自由度が魅力

政府クラウドの提供事業者である「さくらインターネット」のさくらのVPSは24時間365日の有人監視のセキュリティ体制が整っており、月額535円から始められます！

レンタルサーバーより自由度の高いサーバーを始めるならぜひお試しください♪



＼2週間の無料お試しあり／

さくらVPSをチェック