PHPに危険度9.2の脆弱性2件 — php2shell、修正版8.5.12/8.4.27/8.3.36/8.2.35への更新が対策（2026年10月21日公表）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシング

PHP開発元のPHPグループとPHP Foundationは2026年10月21日14:00 UTC、危険度CVSS v4.0 9.2の脆弱性2件（CVE-2026-109618・CVE-2026-109619、通称php2shell）の修正を含む緊急セキュリティリリースを公開しました。悪用されると認証していない外部の人がWebサーバー上で任意のプログラムを実行できる恐れがあり、PHP Foundationは「完全な緩和策は存在しない。アップデートだけが唯一の安全な選択」と案内しています。対策は、該当するPHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35）へ更新することです。

この記事の要点を最初にまとめます。

何が起きたか（要点）

• 2026年10月21日14:00 UTC、PHPの緊急セキュリティリリースが公開された。当初は10月22日開示予定だったが、開示前日の10月20日にCVE IDがリークし、PoC 2件と攻撃ツール「php2shell」が公開されたため1日前倒し（PHP Foundation・2026年10月23日取得）。
• 該当するのはPHP 8.5.12未満の8.5.x、8.4.27未満の8.4.x、8.3.36未満の8.3.x、8.2.35未満の8.2.x。8.1以前も影響を受け、PHP 7.4／8.0／8.1向けには最小限のソースバックポートをGitHubで提供（PHP公式アーカイブ・2026年10月23日取得）。
• 2件とも認証不要のリモートコード実行（RCE）。Apache + mod_phpではデフォルト設定でHTTP経由のRCEが実証済み（PHP Foundation）。
• Cloudflareはパッチ提供前の2026年10月21日07:43 UTCに攻撃トラフィックを初観測したと報じており、更新前のサーバーは既に攻撃にさらされている状態（Fencerの解説記事・2026年10月23日取得）。

次に、それぞれの脆弱性の内容を整理します。

脆弱性の内容（2件）

• CVE-2026-109618（GHSA-w8hw-w9fx-j79w）: メモリ不足（OOM）になったタイミングが悪いと、初期化が途中の内部データが残り、リクエストの後片付け処理がそれを有効なデータとして扱ってメモリ破壊が起きる問題。CVSS v4.0 9.2（PHP Foundation・JVN）。
• CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）: 致命的エラーの発生箇所次第で、内部状態が前のリクエストの解放済みメモリを指したまま残り、同じワーカーが後続のリクエストを処理する際に解放済みメモリを使う（use-after-free）問題。CVSS v4.0 9.2（PHP Foundation・JVN）。
• 影響するのはPHP-FPM、Apache + mod_php、php-cgi、FrankenPHP、LiteSpeedなどWebリクエストを処理する全てのPHP構成。このうちmod_phpが最も危険で、認証不要のリクエストがアプリケーションコードの実行前に攻撃を誘発できる実証済みエクスプロイトが存在する（PHP Foundation）。

自分が該当するかの確認方法

まず運用しているPHPのバージョンを確認してください。サーバー上では「php -v」、管理画面やphpinfo()、WordPressなら管理画面のサイトヘルスでPHPバージョンが表示されます。8.5.12／8.4.27／8.3.36／8.2.35のいずれより古い該当バージョンは更新対象です。WordPressはPHPの上で動くため、WordPress自体の更新ではこの問題に対処できず、動いているPHPのバージョン更新が必要です（Fencerの解説記事）。

対策（どうするか）

• 該当バージョンを修正版（8.5.12／8.4.27／8.3.36／8.2.35）へ更新する。PHP Foundationは「完全な緩和策は存在しない。アップデートだけが唯一の安全な選択」と明言しています。
• 更新までの間の部分的な低減策として、PHP公式は次の設定を案内しています。CVE-2026-109618向けはmemory_limit=-1（無制限）や低いpost_max_size。cgroup／コンテナレベルのRLIMIT_AS／RLIMIT_DATAの制限は逆効果になるとしています（PHP Foundation）。
• CVE-2026-109619向けはsession.upload_progress.enabled=0の設定とワーカー再起動。PHP 8.5ではfatal_error_backtraces=0も案内されています（PHP Foundation）。
• レンタルサーバーを利用している場合は、事業者がPHPの更新を適用しているか、事業者の告知・ステータスページで確認してください。まとめ記事（AITeller・2026年10月23日取得）では、エックスサーバーが2026年10月22日6:45までにPHP 8.2〜8.5の修正を全サーバーへ適用済みと伝えられています。

アカウント乗っ取りとの関係（利用者がしておくべきこと）

PHPサーバーが侵害されると、サイトの利用者データやセッション、管理画面の認証情報が盗まれる経路になります。サーバーの管理パスワードを他のサービスと使い回している場合は使い回しを見直し、管理画面には二段階認証を設定してください。二段階認証の設定手順は「二段階認証（2FA）の設定ガイド」（https://account-hijack.sokuho-guide.com/news/two-factor-authentication-setup-guide/）にまとめています。

サーバー側のログで、普段と違うリクエストの失敗やエラーが急増していないかを確認しておくことも予防として有効です。

よくある質問

Q. PHP 8.1以前を使っている場合はどうすればいいですか？

8.1以前は通常の更新対象外ですが、深刻度が高いためPHPプロジェクトが7.4／8.0／8.1向けに最小限のソースバックポートをGitHub上で提供しています（PHP公式アーカイブ）。ビルドして適用するか、8.2以降への切り替えを検討してください。PHP 8.2は2026年12月31日にサポートが終了する予定のため、新しく選ぶなら8.3以降が推奨です（PHP Foundation）。

Q. WordPressサイトは対応が必要ですか？

必要です。WordPressはPHPの上で動くため、WordPress自体の更新では対処にならず、ホストが動かしているPHPのバージョン更新が必要です（Fencerの解説記事）。レンタルサーバーやマネージドWordPressホスティングを利用している場合は事業者の適用を待ち、告知を確認してください。

Q. すぐ更新できないサーバーでは何をすればいいですか？

PHP公式が案内する部分的な低減策として、CVE-2026-109618向けのmemory_limit=-1や低いpost_max_size、CVE-2026-109619向けのsession.upload_progress.enabled=0（とワーカー再起動）があります。ただしPHP Foundationはこれらを完全な対策ではないと明言しており、更新を必ず行ってください。

出典: PHP公式アーカイブ「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日公表）、2026年10月23日取得。PHP Foundation解説ブログ、JVN JVNVU#99905564、2026年10月23日取得。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針