PHP2Shellと呼ばれる、PHPの深刻度「クリティカル」の脆弱性2件について、協調的な開示と公式パッチの公開に先立ち、詳細情報がオンライン上に流出しました。
PHPは火曜日、いずれもCVSSスコアが9.2という2件の重大な問題について、パッチを2026年10月21日（水）14:00 UTC（米東部時間午前10時）に公開する予定だと警告しました。そのうえで、管理者に対し、直ちにパッチを適用できるよう準備を求めています。
「PHPのすべてのユーザーは、リリースされ次第アップグレードできるよう、今から準備しておくことをお勧めします」と、PHPは述べています。
PHPはさらに、これらのセキュリティ上の欠陥について技術的な詳細が公開された場合や、実環境での悪用が確認された場合は、修正版のリリースを前倒しする可能性があるとも警告しました。
この2件の脆弱性は、CVE-2026-109618とCVE-2026-109619として追跡されているとされ、リモートコード実行（RCE）につながる恐れがあります。CERT-EUが指摘するところでは、CVSSスコアから判断すると、どちらも認証なしで悪用される可能性があります。
公開された報告は、これらの脆弱性をPHP2Shellと呼んでいます。攻撃者が悪用すれば、脆弱なサーバーでシェルを奪取できる可能性があることを示唆する名称です。
CVE-2026-109618とCVE-2026-109619について公開されている情報には、根本原因、影響を受けるコンポーネント、攻撃経路は含まれていません。ただし、ある報告は、前者がuse-after-free（解放後メモリ使用）のバグだと示唆しています。
加えて、公開されている報告によると、PHP 5以降のすべてのバージョンが影響を受けるとみられます。
先制型のエクスポージャー管理企業WatchTowrは、CVE-2026-109618の再現に成功したとみていますが、パッチが公開されるまでは追加情報の共有を控えています。
「機密性の高い問題であるため、現時点で技術的な情報を共有できないのは当然ですが、これらの脆弱性が実在することは確認できます」と、WatchTowrのCEOであるベンジャミン・ハリス氏は述べています。
WatchTowrとHuntressは、どちらの脆弱性も実環境での悪用は確認していないとしています。一方、Sansecによると、パッチの公開から15分以内に大規模な悪用が始まる可能性が高いということです。
翻訳元: https://www.securityweek.com/php2shell-mass-exploitation-looms-for-leaked-critical-php-flaws/
