2026年10月22日、IPAより、PHPの重大な脆弱性「PHP2shell（CVE-2026-109618、CVE-2026-109619）」に関する注意喚起が公開されました。脆弱性が悪用された場合、遠隔から任意コード実行（RCE）が可能になる恐れがあります。なお、Linuxサーバの対処方法はこちらにまとめています。
概要
今回報告されたのは、PHPのメモリ不足（OOM）処理およびリクエスト処理に起因する脆弱性です。これらを組み合わせることで任意コード実行につながる可能性があり、「PHP2shell」と呼ばれています。
影響を受けるバージョン
IPAによると、以下のPHPバージョンが影響を受けます。
PHP 8.2.35 未満
PHP 8.3.36 未満
PHP 8.4.27 未満
PHP 8.5.12 未満
また、調査元の情報ではPHP 5.4以降のバージョンも何らかの影響を受ける可能性があるとされています。
どのバージョンに更新すればよいか
PHP 8系
PHP 8.2系 → 8.2.35 以降
PHP 8.3系 → 8.3.36 以降
PHP 8.4系 → 8.4.27 以降
PHP 8.5系 → 8.5.12 以降
PHP 8.1 以前を利用している場合
PHP 8.1以前は既にサポートが終了しています。今回の脆弱性についても修正プログラムは提供されません。IPAでは、サポート対象となっているPHPへの移行、または対策済み製品・サービスへの移行を検討するよう案内しています。
古いPHPを利用している場合
例えば、PHP 5.x や PHP 7.x を利用している環境では、単純なアップデートが難しいケースもあります。その場合は、
・システムの更改を検討する
・ベンダーへ対応可否を確認する
・一時的なアクセス制限を実施する
・不要なシステムは停止・廃止を検討する
といった対応も選択肢となります。
確認しておきたいポイント
・サーバにPHPがインストールされているか
・WebサーバからPHPが実行できる状態か
・利用しているWebシステムやCMSがPHPを利用しているか
・PHPのバージョンは何か
・サポート終了済みのPHPを利用していないか
個人ユーザーは何を確認すべきか
今回の脆弱性はPHPを利用するサーバーやWebシステムに影響するものであり、一般的なWindowsパソコンやスマートフォンを利用しているだけの人が、直ちに何か対応しなければならないというものではありません。
ただし、次のようなケースでは確認をおすすめします。
自宅サーバーを運用している
Raspberry PiやLinuxサーバーでWebサイトやWebアプリケーションを公開している場合は、PHPのバージョン確認とアップデートを検討しましょう。
レンタルサーバーを利用している
WordPressなどのCMSを利用している場合、サーバー事業者から脆弱性対応に関する案内が出ていないか確認しておくと安心です。
WordPressや各種Webアプリを運用している
PHP本体だけでなく、利用しているCMSやプラグインの更新も重要です。ベンダーからの案内がないか確認しておきましょう。
特に何も運用していない場合
自分でサーバーやWebサイトを運用しておらず、一般的なパソコン利用やWeb閲覧のみであれば、今回の脆弱性について特別な対応が必要になる可能性は低いと考えられます。
参考
IPA PHPの脆弱性対策について (CVE-2026-109618、CVE-2026-109619：PHP2shell)
コメント