目次
第1 本記事の対象と結論1 対象と基準日2 結論第2 PHP2Shellとは1 PHPとは2 二つの脆弱性3 影響を受ける環境第3 発見から公開までの経過1 発見と報告2 予告と公開3 公開前の情報流出と攻撃第4 よくある疑問を公式資料で確かめる1 深刻度は最高の10点か2 インターネットの7割に影響するのか3 PHPでは毎年のことか4 AIが攻撃したのか5 設定を変えれば防げるか第5 悪用の状況第6 各国政府と日本国内の対応1 米国と英国2 日本政府3 国内のサイト停止第7 ウェブサイトの運営者が確かめること第8 関連記事第9 出典1 PHPの公式資料2 政府機関等の資料3 発見者・セキュリティ企業の資料4 報道
第1 本記事の対象と結論
1 対象と基準日
本記事は,令和8年10月21日にPHPの開発チームが修正版を公開した二つの重大な脆弱性(CVE-2026-109618及びCVE-2026-109619。発見者等が「PHP2Shell」又は「php2shell」と呼んでいるもの)について,公式発表から確認できる事実と,深刻度や影響の範囲についての疑問を分けて整理するものである。
基準日は令和8年10月22日であり,その後に公式発表が更新されることがある。
PHP,米国・英国の政府機関,JPCERT/CC及びIPAの公表資料は原文で確認し,国内のサイト停止と政府関係者の発言は報道によった。
ウェブサイトの管理者が行う更新手順,バックアップ及び更新後の確認は,PHPの緊急セキュリティ更新とWordPress保守―法律・税理士事務所の確認,バックアップ,互換性試験及び復旧手順で扱っている。
2 結論
①二つの脆弱性は,PHP本体の中で,リクエストの処理が途中で打ち切られた後の後始末に関する欠陥であり,認証を受けていない第三者による遠隔コード実行につながり得る。
②公式の深刻度はCVSS v4.0で9.2であり,最高点の10ではない。
③PHPが使われているウェブサイトの割合が約7割であることは統計で確認できるが,発見者の発表の題名にある,インターネットの7割に影響するという趣旨の表現を,その全部が同じ程度に乗っ取られ得るという意味に読むのは言い過ぎである。
④修正版の公開前に情報が流出し,攻撃の通信も観測されたが,被害の範囲は資料によって評価が分かれており,基準日の時点で確定していない。
⑤対策の中心は修正版への更新であり,PHP公式は完全な代替策はないとしている。
第2 PHP2Shellとは
1 PHPとは
PHPは,ウェブサーバーの側で動き,データベースから情報を取り出して画面を組み立てるためのプログラミング言語である。
WordPress等の広く使われるシステムもPHPで動いている。
W3Techsの統計(令和8年10月22日)によれば,サーバー側の言語が判明しているウェブサイトのうち69.3%がPHPを使っている。
2 二つの脆弱性
PHP公式の発表と,PHPの開発リポジトリに掲載された二つのアドバイザリによれば,脆弱性の要点は次のとおりである。
①CVE-2026-109618(アドバイザリの題名は「RCE via OOM corruption」)は,メモリー不足の処理によって,内部のリクエストデータが初期化の途中の状態でPHPの処理が中断され,その後の終了処理が無効なデータを有効なものとして扱ってしまうおそれに関するものである。
②CVE-2026-109619(題名は「RCE via stale global state」)は,あるリクエストに属する内部の状態が,その記憶領域の解放後も残り,同じワーカーが処理する後続のリクエストが,通常の初期化の前にその古い状態を使ってしまうおそれに関するものである。
いずれもCVSS v4.0で9.2(Critical)と評価され,影響を受ける版は8.2.35,8.3.36,8.4.27及び8.5.12より前の各版である。
CVE-2026-109619のアドバイザリは,確認された影響として,遠隔コード実行のほかに,メモリーの内容の開示を挙げている。
発見者の一つであるWizは,開示されたメモリーにパスワード,認証用のトークン,APIキー及び証明書が含まれ得ると説明している。
3 影響を受ける環境
PHP公式は,PHP-FPM,Apacheのmod_php,php-cgi,FrankenPHP及びLiteSpeedを含め,ウェブのリクエストを処理する全てのPHPの環境が危険にさらされているとしている。
そのうえで,危険が最も高いのはmod_phpであり,アプリケーションのコードが動く前の段階で,認証のないリクエストによって攻撃が成立することが実証されたとしている。
CVE-2026-109618のアドバイザリは,mod_phpについて,入力とメモリーの上限を既定値のままにした環境でHTTP経由の遠隔コード実行を検証したと述べる一方,PHP-FPMについては完全な攻撃が実証されていないこと,LiteSpeedの接続方式(LSAPI)についてはアプリケーションに依存した攻撃が成立する可能性が高いが検証されていないことを書いている。
これに対し,CVE-2026-109619のアドバイザリは,セッションの処理を使った遠隔コード実行をmod_phpとPHP-FPMの双方で検証したとしている。
(続きを読む...)PHP2Shell(CVE-2026-109618・109619)とは―公式発表で確かめられること,深刻度9.2と「インターネットの7割」の意味及び国内のサイト停止(AI作成)