PHP、重大な脆弱性「PHP2Shell」の緊急修正版を公開

PHPは、認証なしでコードを実行される恐れのある2件の重大な脆弱性「PHP2Shell」に対し、緊急修正版を公開しました。ウェブサイトの運営者とホスティング事業者は、早急なアップデートが必要です。

PHPの開発チームは、攻撃者がログインなしでウェブサーバー上のコードを実行できる可能性がある2件の重大な脆弱性について、緊急の セキュリティアップデートを公開しました。修正版のリリースは2026年10月21日です。その前日には、メンテナーが管理者に対し、即時のパッチ適用に備えるよう呼びかけていました。

これらの脆弱性は「PHP2Shell」の名で知られ、CVE-2026-109618とCVE-2026-109619として管理されています。深刻度はいずれもCVSS v4.0で9.2です。PHPの公式発表によると、影響を受けるのはウェブリクエストを処理する環境で、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなどが該当します。

Google傘下のセキュリティ企業Wizは、AIツールの支援を受けて、研究者が2件の脆弱性を発見したと説明しています。一方、OpenAIは、サイバーセキュリティ企業Califが同社の「Patch the Planet」の取り組みの中で、GPT-5.6 Solを使ってPHPの重大な脆弱性を発見したと明らかにしました。修正とリリースはPHPのメンテナーが主導し、研究者やインフラ事業者が支援しました。

最もリスクが高いのはApache mod_php

PHPのメンテナーは、Apacheのmod_php構成を最も危険な環境と位置づけています。研究者が、ウェブサイト自身のコードが動き出す前の段階で成立する攻撃を実証したためです。

脆弱性を悪用した攻撃者は、ウェブリクエストを処理するプロセスの権限を得ます。そのプロセスが扱えるアプリケーションのファイルや認証情報が漏えいする恐れがありますが、サーバー全体の管理者権限が自動的に奪われるわけではありません。

Malwarebytesで詐欺・AI研究のグローバル責任者を務めるShahak Shalev氏は、攻撃者が乗っ取ったウェブサイトの既存の評判を悪用する手口について説明しました。

学ぶAIツール

「ハッカーにとってはまさに宝の山です。本物のウェブサイトを乗っ取り、そのサイトの評判を利用して、フィッシングを仕掛けたり、信頼されたチャネルからマルウェアを配布したりできます。悪用の可能性は無限です」とShalev氏は述べています。

PHPのセキュリティアドバイザリーでは、サーバーの構成やアプリケーション、導入済みの拡張機能によって、攻撃が成立する条件が異なると説明しています。

メモリ処理の不具合でコード実行が可能に

1件目の脆弱性CVE-2026-109618は、PHPがメモリ不足を処理する際の挙動に関係します。内部のリクエスト データが一部しか準備されていない状態で処理が中断し、PHPのクリーンアップ処理が無効なデータを使ってしまいます。研究者は、PHPの入力とメモリの上限が既定値のApache mod_phpに対し、リモートからのコード実行を確認しました。

2件目のCVE-2026-109619では、メモリが解放された後も、以前のリクエストの情報が参照されたまま残ります。同じワーカープロセスが処理する後続のリクエストがその参照を利用すると、メモリの内容が漏えいしたり、コードが実行されたりする恐れがあります。

研究者は、mod_phpとPHP-FPMの両方で攻撃を検証しました。ただし、FPMで成立が確認された経路には、アプリケーション内に適切な処理が存在することが必要です。PHPのアドバイザリーは、複数のワーカーを動かすとリクエストごとの攻撃成功率は下がるものの、脆弱性そのものは解消されないと警告しています。

緊急アップデートを公開

管理者は、使用しているPHPのブランチに対応する修正版を導入してください。

Linuxディストリビューションや長期サポート（LTS）ベンダーには、事前にパッチが提供されています。ベンダーが保守するパッケージを使っている組織は、該当するセキュリティ通知を確認し、修正が含まれていることを確かめてください。

比較セキュリティ

PHP 8.1以前は、プロジェクトの通常のサポート期間外です。メンテナーは、PHP 7.4、8.0、8.1向けに最小限のソースパッチも提供しています。ただし、これより古い環境のユーザーは、ベンダーに相談するか、サポート対象のバージョンへ移行する必要があります。

マネージドホスティングを利用しているサイト運営者は、PHPランタイムにパッチが適用されたかどうかを事業者に確認してください。WordPressやそのプラグイン、テーマを更新しても、サーバーのPHP本体は更新されません。

設定変更による対策は不完全

すぐにパッチを適用できない管理者は、公式アドバイザリーに記載された暫定的な緩和策を参照できます。具体的には、セッションのアップロード進捗の無効化や、PHP 8.5におけるフェイタルエラー時のバックトレースの無効化などがあり、いずれも設定後にすべてのPHPワーカーを再起動する必要があります。

ただし、これらの変更で防げるのは、実証された特定の攻撃経路だけです。PHPのメンテナーは、すべての経路を網羅できる汎用的な設定変更はないと警告しています。エラーメッセージを非表示にしても、古い状態が残る脆弱性の悪用は防げません。完全な修正版の適用が引き続き必要です。