第１ 本記事の対象と結論
１ 対象と基準日
本記事は，令和８年１０月２１日にPHPの開発チームが修正版を公開した二つの重大な脆弱性（CVE-2026-109618及びCVE-2026-109619。発見者等が「PHP2Shell」又は「php2shell」と呼んでいるもの）について，公式発表から確認できる事実と，深刻度や影響の範囲についての疑問を分けて整理するものである。
基準日は令和８年１０月２２日であり，その後に公式発表が更新されることがある。
PHP，米国・英国の政府機関，JPCERT/CC及びIPAの公表資料は原文で確認し，国内のサイト停止と政府関係者の発言は報道によった。
ウェブサイトの管理者が行う更新手順，バックアップ及び更新後の確認は，PHPの緊急セキュリティ更新とWordPress保守―法律・税理士事務所の確認，バックアップ，互換性試験及び復旧手順で扱っている。
２ 結論
①二つの脆弱性は，PHP本体の中で，リクエストの処理が途中で打ち切られた後の後始末に関する欠陥であり，認証を受けていない第三者による遠隔コード実行につながり得る。
②公式の深刻度はCVSS v4.0で9.2であり，最高点の１０ではない。
③PHPが使われているウェブサイトの割合が約７割であることは統計で確認できるが，発見者の発表の題名にある，インターネットの７割に影響するという趣旨の表現を，その全部が同じ程度に乗っ取られ得るという意味に読むのは言い過ぎである。
④修正版の公開前に情報が流出し，攻撃の通信も観測されたが，被害の範囲は資料によって評価が分かれており，基準日の時点で確定していない。
⑤対策の中心は修正版への更新であり，PHP公式は完全な代替策はないとしている。
第２ PHP2Shellとは
１ PHPとは
PHPは，ウェブサーバーの側で動き，データベースから情報を取り出して画面を組み立てるためのプログラミング言語である。
WordPress等の広く使われるシステムもPHPで動いている。
W3Techsの統計（令和８年１０月２２日）によれば，サーバー側の言語が判明しているウェブサイトのうち６９．３％がPHPを使っている。
２ 二つの脆弱性
PHP公式の発表と，PHPの開発リポジトリに掲載された二つのアドバイザリによれば，脆弱性の要点は次のとおりである。
①CVE-2026-109618（アドバイザリの題名は「RCE via OOM corruption」）は，メモリー不足の処理によって，内部のリクエストデータが初期化の途中の状態でPHPの処理が中断され，その後の終了処理が無効なデータを有効なものとして扱ってしまうおそれに関するものである。
②CVE-2026-109619（題名は「RCE via stale global state」）は，あるリクエストに属する内部の状態が，その記憶領域の解放後も残り，同じワーカーが処理する後続のリクエストが，通常の初期化の前にその古い状態を使ってしまうおそれに関するものである。
いずれもCVSS v4.0で9.2（Critical）と評価され，影響を受ける版は8.2.35，8.3.36，8.4.27及び8.5.12より前の各版である。
CVE-2026-109619のアドバイザリは，確認された影響として，遠隔コード実行のほかに，メモリーの内容の開示を挙げている。
発見者の一つであるWizは，開示されたメモリーにパスワード，認証用のトークン，APIキー及び証明書が含まれ得ると説明している。
３ 影響を受ける環境
PHP公式は，PHP-FPM，Apacheのmod_php，php-cgi，FrankenPHP及びLiteSpeedを含め，ウェブのリクエストを処理する全てのPHPの環境が危険にさらされているとしている。
そのうえで，危険が最も高いのはmod_phpであり，アプリケーションのコードが動く前の段階で，認証のないリクエストによって攻撃が成立することが実証されたとしている。
CVE-2026-109618のアドバイザリは，mod_phpについて，入力とメモリーの上限を既定値のままにした環境でHTTP経由の遠隔コード実行を検証したと述べる一方，PHP-FPMについては完全な攻撃が実証されていないこと，LiteSpeedの接続方式（LSAPI）についてはアプリケーションに依存した攻撃が成立する可能性が高いが検証されていないことを書いている。
これに対し，CVE-2026-109619のアドバイザリは，セッションの処理を使った遠隔コード実行をmod_phpとPHP-FPMの双方で検証したとしている。
脆弱性はPHP本体にあるため，WordPress等のシステム，テーマ又はプラグインを更新しても修正されない。
PHPの開発チームは8.1以前の版の修正版を出しておらず，ソースから構築する利用者向けに，7.4，8.0及び8.1への最小限の修正を示すにとどめている。
8.2も令和８年１２月３１日にサポートが終了する。
第３ 発見から公開までの経過
１ 発見と報告
発見者の一つであるWizの公表によれば，同社は令和８年８月１９日に最初の脆弱性を見つけ，同月２４日にPHPのセキュリティチームへ報告し，PHP側は９月２１日に報告を確認して修正の準備に入った。
Wizは，発見にWiz AtlasとAIのモデル（Gemini 4 Argon及びGPT-5.6 Sol）を使ったと説明しており，Google Cloudも同社のモデルが発見と検証に貢献したとしている。
これらは発見者及び関係企業の説明であり，第三者が検証した事実ではない。
Cloudflareは，脆弱性を公表した者として，Calif.io，Wiz，OpenAI及びQuarkslabを挙げている。
２ 予告と公開
PHPの開発チームは，令和８年１０月２０日，セキュリティ更新を１０月２１日１４時（協定世界時。日本時間２３時）に公開すると予告した。
その予告には，脆弱性の詳細が公になった場合や，実際の悪用の証拠が現れた場合には，公開を早めることがあると書かれていた。
IPAも，１０月２１日，この予告を受けて，PHPを使うプログラムの棚卸しと更新の準備を呼び掛けた。
開発リポジトリの二つのアドバイザリは，日本時間１０月２１日２２時３４分ごろに公開された。
３ 公開前の情報流出と攻撃
Cloudflareは，脆弱性の情報が正式な公開日より前に流出したと述べている。
watchTowrは，１０月２２日に公表があるとするSNS上の情報を紹介しているが，PHPの開発チーム自身の予告は前記のとおり２１日の公開を予定していた。
Cloudflareは，１０月２１日３時２分（協定世界時）から，無料のものを含む同社のWAFの利用者に既定で防御の規則を適用したとし，攻撃の通信と，防御を回避しようとする試みを観測したとしている（観測の時刻は示されていない）。
第４ よくある疑問を公式資料で確かめる
１ 深刻度は最高の１０点か
CVSSは脆弱性の深刻度を０から１０までの数値で表す評価方法であるが，今回の二つの公式の評価はいずれも9.2である。
評価の内訳には，攻撃の複雑さが高いこと（AC:H）と，攻撃に一定の前提条件が要ること（AT:P）が含まれている。
CVE-2026-109619のアドバイザリは，悪用には，古い状態を残すリクエストとそれを使うリクエストの双方が同じワーカーに届く必要があるといった条件を挙げており，ワーカーが複数あれば１回当たりの成功率は下がるが，条件がなくなるわけではないとしている。
２ インターネットの７割に影響するのか
Wizが公表した記事の題名は，インターネットの７割に影響する重大な脆弱性をAIが発見したという趣旨のもの（affecting 70% of the Internet）である。
しかし，W3Techsの６９．３％は，サーバー側の言語が判明しているサイトのうちPHPを使う割合であり，攻撃が成立するサイトの割合ではない。
前記のとおり，遠隔コード実行が検証された環境は脆弱性ごとに異なり，CVE-2026-109618ではmod_phpに限られる。
また，PHP公式によれば，Linuxのディストリビューション等には修正が事前に提供されており，利用者はそれぞれの更新版を確認するよう求められている。
他方，PHP公式は，ウェブのリクエストを処理する全てのPHPの環境を危険の対象としているから，自分のサイトは関係ないと考えてよい根拠にもならない。
３ PHPでは毎年のことか
PHPの開発リポジトリに公開されたアドバイザリ（基準日の時点で６６件）のうち，PHPの開発チームが9.0以上と評価したものを数えると，令和５年以降は今回の２件を除いて４件である（令和５年８月に１件，令和６年４月に１件，令和８年５月に２件）。
過去の４件は，phar，Windows上のproc_open，pdo_firebird及びSOAPという特定の機能に関する欠陥であり，その機能を使わないサイトには関係がなかった。
今回の２件は，ウェブのリクエストを受けて後始末をする中心の部分に関するものであり，点数が同じ水準であっても，影響の広さは過去の例と異なる。
４ AIが攻撃したのか
基準日までの公式資料で確認できるのは，発見者がAIを使って脆弱性を見つけ，攻撃の再現まで行ったと説明していることである。
攻撃者がAIを使ったかどうかについて，PHP公式及び政府機関の資料は述べていない。
５ 設定を変えれば防げるか
PHP公式は，直ちに更新できない場合の措置として，memory_limitを-1にすること，post_max_sizeを小さくすること，session.upload_progress.enabledを0にして全てのワーカーを再起動すること等を挙げている。
しかし，同時に，これらは特定の攻撃経路への露出を減らすだけで，環境を安全にするものではなく，更新だけが完全な解決策であるとしている。
JPCERT/CCも，緩和策は特定の攻撃経路への対処にとどまるとしている。
第５ 悪用の状況
米国のサイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）は，１０月２１日の注意喚起で，公表の時点では悪用を観測していないとしつつ，直ちに修正を適用するよう強く求めた。
CISAが公表する悪用確認済みの脆弱性の一覧（Known Exploited Vulnerabilities Catalog）は，１０月２２日に取得した版（１０月２１日付）では，二つの脆弱性を掲載していない。
他方，watchTowrは，１０月２１日までに自社のおとりのシステムで悪用を観測したとし，Cloudflareも攻撃の通信を観測したとしている。
このように，被害の範囲は資料によって評価が分かれている。
公開後には，攻撃を再現するプログラム（PoC）と称するものが短時間に多数公開された。
AhnLabのセキュリティ部門（ASEC）は，公開から１日で約１００の関連リポジトリが作られ，その中に，人気のあるリポジトリを複製して改変したとみられるものがあると指摘している。
出所の分からないPoCを試しに動かすことは，それ自体が自分の環境への攻撃になり得る。
JPCERT/CCは，１０月２２日の注意喚起で，攻撃を受けた可能性の調査として，過去の応答で不自然に長い又は異常な形式のセッションのCookieが設定されていないか，不審なmultipart/form-data形式のリクエストの前後にメモリー上限のエラーやHTTP 500のエラーがないか，PHPのワーカーの予期しない異常終了や頻繁な再起動がないか等を確認するよう挙げている。
そのうえで，痕跡が見つからなくても攻撃を受けていないとは断定できないとしている。
第６ 各国政府と日本国内の対応
１ 米国と英国
CISAは，PHPの所在を棚卸しし，インターネットに面したシステムから優先して直ちに更新すること，直ちに更新できない場合やサポートが終了した8.1以前を使っている場合は，更新するまでPHPを使うシステムをオフラインにすることを求めている。
英国の国家サイバーセキュリティセンター（NCSC）も，PHPの所在の特定，最新の修正版への更新，一時的な緩和策の適用を挙げたうえで，緩和策を適用できない場合はシステムをオフラインにすることを検討するよう求め，直ちに更新又は停止ができない場合には侵害とバックドアの有無を先に確認するよう求めている。
２ 日本政府
国内では，IPAが１０月２１日に更新の準備を呼び掛け，JPCERT/CCが１０月２２日に注意喚起を公表した。
報道によれば，国家サイバー統括室も，１０月２１日，Xで更新プログラムの速やかな適用を呼び掛けた。
報道によれば，高市内閣総理大臣も１０月２１日夜，Xで，修正パッチを速やかに適用できるよう準備することを求め，適用が難しい場合にはウェブサイト等を一時的に停止することもリスクを下げる有効な方法の一つであると述べた。
木原内閣官房長官は，１０月２２日の記者会見で，PHPを使ったウェブサイトを運営する事業者等に修正パッチの速やかな適用を推奨するとともに，ウェブサイト等の一時的な停止もリスクを低減する有効な対策の一つであると述べ，関係する被害の報告は受けていないとした。
日本テレビは，木原内閣官房長官の発言を伝える映像を，令和８年１０月２２日にYouTubeで公開している。
３ 国内のサイト停止
時事通信の報道によれば，１０月２２日までに，厚生労働省が「介護サービス情報公表システム」等の公開を，消費者庁がリコール情報サイト等の特設サイトを一時停止し，文部科学省も問合せフォームの停止や少なくとも４つのサイトの緊急メンテナンスを行った。
厚生労働省の停止は予防的な措置で被害の報告はないとされ，消費者庁も不正アクセスは確認されていないとしている。
日本テレビの報道によれば，国税庁は，１０月２２日午前１０時２０分ごろからe-Taxのホームページの公開を一時停止したが，確定申告書等作成コーナーからの申告書の作成と電子申告は引き続き可能であり，サイバー攻撃は受けていないとしている。
民間でも，ITmediaの報道によれば，ネットショップのBASE，Cygamesのゲーム（ウマ娘 プリティーダービー及びShadowverse: Worlds Beyond），保育施設向けのコドモン等が緊急メンテナンスに入った。
第７ ウェブサイトの運営者が確かめること
ウェブサイトの運営者は，少なくとも次の事項を確認する必要がある。
①PHPの完全な版番号と実行方式（mod_php，PHP-FPM，LiteSpeed等）
②8.5.12，8.4.27，8.3.36又は8.2.35以上であるか，利用するサーバー会社やディストリビューションが修正を取り込んだ版を提供しているか
③8.1以前を使っている場合の，サポート対象の版への移行の予定
④更新できるまでの暫定措置と，公開を一時停止するかどうかの判断及びその記録
⑤JPCERT/CCが挙げる痕跡の有無と，痕跡がないことだけで安全と判断しないこと
今回の脆弱性はメモリーの内容の開示を伴うため，個人データを扱うサイトで不正アクセスの痕跡等が見つかった場合には，個人情報保護法２６条による個人情報保護委員会への報告と本人への通知の要否を検討することになる。
報告の対象となる事態と期限は，情報漏洩が相次ぐ今，企業の信頼を守る法務の備え―平時の体制，発覚後の初動，報告・通知・公表で整理している。
第８ 関連記事
①PHPの緊急セキュリティ更新とWordPress保守―法律・税理士事務所の確認，バックアップ，互換性試験及び復旧手順
②情報漏洩が相次ぐ今，企業の信頼を守る法務の備え―平時の体制，発覚後の初動，報告・通知・公表
③重要電子計算機防護法とは―特別社会基盤事業者の届出・報告義務，警察のアクセス・無害化措置及び自衛隊法８１条の３
④「情報漏えいゼロ」は安全の証拠か―暗数，報告件数及び検知率の読み方
⑤AIを悪用した無差別サイバー攻撃とは―仕組みと企業の対策
第９ 出典
１ PHPの公式資料
①PHP「News Archive 2026」（令和８年１０月２０日の予告及び同月２１日のセキュリティアドバイザリ・各版の公開告知。令和８年１０月２２日確認）https://www.php.net/archive/2026.php
②php/php-src「RCE via OOM corruption」（CVE-2026-109618。令和８年１０月２２日確認）https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
③php/php-src「RCE via stale global state」（CVE-2026-109619。令和８年１０月２２日確認）https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
④php/php-src「Security advisories」（公開アドバイザリの一覧。令和８年１０月２２日確認）https://github.com/php/php-src/security/advisories
２ 政府機関等の資料
①CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（令和８年１０月２１日）https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
②CISA「Known Exploited Vulnerabilities Catalog」（令和８年１０月２１日付の版。令和８年１０月２２日確認）https://www.cisa.gov/known-exploited-vulnerabilities-catalog
③NCSC「Critical security issue affecting PHP」（令和８年１０月２１日）https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
④JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（令和８年１０月２２日）https://www.jpcert.or.jp/at/2026/at260033.html
⑤IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（令和８年１０月２１日）https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
３ 発見者・セキュリティ企業の資料
①Wiz「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」（令和８年１０月２２日確認）https://www.wiz.io/blog/php2shell-php-rce
②Google Cloud「Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619」（令和８年１０月２２日確認）https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619
③Cloudflare「Cloudflare deploys protections against php2shell vulnerability」（令和８年１０月２１日）https://blog.cloudflare.com/php-vulnerabilities-waf-protection
④watchTowr「PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619」（令和８年１０月２２日確認）https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
⑤ASEC「Analysis of the GitHub “php2shell” Repository: Public PoCs and Defense Tools That Spread Immediately After the Disclosure of the PHP Vulnerability」（令和８年１０月２２日確認）https://asec.ahnlab.com/en/95944/
⑥W3Techs「PHP」の利用統計（令和８年１０月２２日確認）https://w3techs.com/technologies/details/pl-php
４ 報道
①時事通信の記事（令和８年１０月２２日１８時４４分配信）https://www.jiji.com/jc/article?k=2026102200782&g=pol
②ITmedia NEWS「高市総理「大至急、PHPパッチ適用を」Xで異例の要請 エンジニアは評価「経営層に伝わる」」（令和８年１０月２２日）https://www.itmedia.co.jp/news/article/2610/22/2000002483/
③共同通信「国家サイバー室、PHP巡り注意喚起」（令和８年１０月２１日）https://news.yahoo.co.jp/articles/618e9c773179627cf75af1fdd23be8804115cc51
④日本テレビ「【速報】「PHP」の脆弱性受け国税庁「e-Tax」サイトの公開を一時停止 「法テラス」HPも」（YouTube，令和８年１０月２２日公開）https://www.youtube.com/watch?v=FnE_TwBAOO0
⑤日本テレビ「【PHPに脆弱性】木原長官が注意喚起｢ウェブサイトの一時停止も有効｣」（YouTube，令和８年１０月２２日公開）https://www.youtube.com/watch?v=Fc3fKJPDdgY
⑥テレビ朝日「政府 現時点で被害報告なし 高市総理 自身のサイト一時停止(2026年10月22日)」（YouTube，令和８年１０月２２日公開）https://www.youtube.com/watch?v=5c6fvkv8vUM