← ニュース一覧
PHP2Shell：PHPに認証不要のリモートコード実行の重大脆弱性（CVE-2026-109618 / CVE-2026-109619）
「PHP2Shell」と呼ばれる2件の重大な脆弱性により、Webリクエストを処理するPHP環境で認証なしに任意コードが実行される恐れがあります。PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 へ直ちに更新してください。PHP 8.1以前には公式修正がありません。
2026年10月21日、PHPプロジェクトは PHP2Shell と総称される2件の重大な脆弱性 CVE-2026-109618 と CVE-2026-109619（CVSS 9.2）に対する緊急セキュリティアップデートを公開しました。いずれも、細工されたWebリクエストを送るだけで、認証なしに任意のコードを実行される可能性があります。
影響範囲
Webリクエストを処理するすべてのPHP環境が対象です（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed など）。特に mod_php はアプリケーションコードの実行前に脆弱性が発動する実証済みのエクスプロイトがあり、最もリスクが高いとされています。
- CVE-2026-109618 – メモリ不足時のリクエスト後処理におけるメモリ破損
- CVE-2026-109619 – 古いリクエスト状態に起因する解放後使用（use-after-free）
| ブランチ | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 5.4 – 8.1 | 公式修正なし（サポート終了） |
推奨される対応
CISA、カナダ・サイバーセキュリティセンター、NCSC-NL は次の対応を呼びかけています。
- PHPを利用するすべてのシステム（PHPを同梱する製品・コンテナを含む）を洗い出す。
- インターネット公開システムを優先して直ちにパッチを適用する。
- すぐに更新できない場合は、
session.upload_progressの無効化やワーカー再起動など公式の暫定緩和策を適用し（完全な修正ではありません）、未修正システムのオフライン化も検討する。 - PHPワーカーがシェルを起動したりツールをダウンロードしたりしていないか監視する。
概念実証（PoC）の存在が報告されており、対応の猶予は長くありません。PHP 8.1以前を使っている場合は、ベンダーのバックポートを利用するか、サポート中のバージョンへ移行する必要があります。
出典：CISA、AWS、カナダ・サイバーセンター、NCSC-NL
PHP 8.1以前から移行できない場合、RescuePHPでは緊急のバックポートパッチ適用やサポート版へのアップグレードをお手伝いできます。