PHP2Shellは、PHPのコア実行環境に見つかった2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619の総称です。どちらもCVSS v4.0で9.2（Critical）と評価されており、脆弱なサーバーでは、認証されていない攻撃者がコードを実行する可能性があります。PHPプロジェクトは2026年10月21日に緊急修正版を公開しました。47

運用担当者がまず取り組むべきなのは、PHPの更新です。公開前にAmazonのハニーポットで悪用の試みが観測されたとの報告もあり、早急な対応が求められます。ただし、こうした観測は、実際の本番システムへの侵入が確認されたことを意味しません。4836

PHP2Shellの2件の脆弱性とは

2件の脆弱性は、報告されている原因が異なります。

• CVE-2026-109618は、メモリ不足時の処理に関係します。 PHPがメモリ不足に陥った際の処理が中断されると、リクエストに関する内部データが一部しか初期化されていない状態で残る場合があります。その後の後処理で、無効なデータが有効なものとして扱われるおそれがあります。58
• CVE-2026-109619は、解放後に残る内部状態に関係します。 リクエストに関係する状態が、そのデータを保持していたメモリの解放後も残り、解放済みメモリを参照する「use-after-free（解放後使用）」が発生する問題と説明されています。9

いずれも、ファイルアップロードなどで一般的に使われるmultipart形式を含む、細工されたHTTPリクエストの処理に関係します。47 攻撃が成功した場合、実行されるコードの権限はWebワーカーのアカウントに基づきます。自動的に管理者やrootの権限を得られる、という意味ではありません。1

深刻度9.2が示すこと、示さないこと

2件とも、**CVSS v4.0で10点満点中9.2、Critical（緊急）**と報告されています。ログインしなくても、影響を受けるサーバーでコード実行を試みられる点が、深刻なリスクの一因です。47

一方、参照できる資料にはCVSSの完全な評価ベクトルが含まれていません。そのため、個々の評価要素がどのように9.2というスコアにつながったのかを、正確に説明することはできません。深刻度スコアは脆弱性の重大さを示すものであり、特定のサーバーが攻撃される可能性や、観測された攻撃が成功したかどうかを示すものではありません。

影響するPHPの範囲と修正版

報告では、影響範囲はPHP 5.4以降とされています。55 PHP 8.xの各ブランチで公開された緊急修正版は次のとおりです。

PHPのブランチ	修正版
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

これらは2026年10月21日に公開されました。利用中のブランチに対応する修正版、またはそれ以降のバージョンへ更新してください。47

掲載されている修正版は8.2から8.5までのブランチが対象です。それより古いブランチやサポートが終了したバージョンを利用している場合は、PHPの配布元またはOSベンダーに、適用できる修正やアップグレード方法を確認してください。表にあるバージョンがそのまま適用できるとは限りません。

公開前後の悪用報告をどう見るか

脆弱性の情報は、当初予定されていた10月22日の公開より前の10月20日に公になり、PHPは10月21日に緊急修正版を公開しました。842 情報が予定より早く広まったことと修正公開が前倒しされたことは報告されていますが、Califのデモ動画が誤って公開されたことが前倒しの引き金だったとは、参照資料からは確認できません。

Amazon Threat Intelligenceは、10月17日付のMadPotハニーポットの記録に、PHP2Shellを使った攻撃の試みがあったと報告しました。これは一般公開の4日前にあたります。また、10月21日の修正版公開前後にも、複数の概念実証（PoC）エクスプロイトを確認したとしています。ハニーポットはおとりのシステムであり、そこでの観測だけでは実在する組織への侵入を確認したことにはなりません。48

Cloudflareは脆弱性の公表前後に防御策を展開したと報告しており、同時期の報道では、セキュリティ事業者が攻撃通信や試みを観測したと伝えられています。5535 ただし、悪用の規模や成功についての報告は一致していません。一部の事業者は大規模または進行中の悪用を主張する一方、当時の報道には、政府機関が攻撃の成功を確認していないとの内容もありました。3336

攻撃の試みを軽視すべきではありませんが、報告された試みをすべて侵入成功と見なしたり、攻撃が広範囲に成功したと結論づけたりする根拠はありません。影響を調べる際には、「試みがあったこと」「エクスプロイトが動作すること」「本番環境への侵害が確認されたこと」を区別する必要があります。

更新までの暫定対策

根本的な対策は、修正版のPHPをインストールすることです。 AWSは、アップグレードが完全な修正であると説明しています。すぐに更新できない場合、multipart形式のファイルアップロードを一時的にブロックするなど、露出を減らす措置が考えられます。ただし、こうした対策はアップデートの代わりにはなりません。4748

カナダのサイバーセンターは、脆弱性と未認証でのコード実行リスクについて重大な警告を発しました。2 また、参照資料は、NSAがすぐに更新できない場合はシステムをオフラインにするよう勧告したと伝えています。27 PHPが製品に組み込まれている場合や、ホスティング事業者が管理している場合は、利用環境に応じてベンダーや政府機関の勧告を確認してください。

要点は明快です。PHPが動いている場所を把握し、該当する修正版を適用し、セキュリティアラートは内容を見極めて調査すること。PHP2Shellは迅速な対応が必要な脆弱性ですが、攻撃の試み、動作するエクスプロイト、実環境で確認された侵害は、それぞれ別の事実です。

PHP2Shellは、PHPのコア実行環境に見つかった2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619の総称です。どちらもCVSS v4.0で9.2（Critical）と評価されており、脆弱なサーバーでは、認証されていない攻撃者がコードを実行する可能性があります。PHPプロジェクトは2026年10月21日に緊急修正版を公開しました。47

運用担当者がまず取り組むべきなのは、PHPの更新です。公開前にAmazonのハニーポットで悪用の試みが観測されたとの報告もあり、早急な対応が求められます。ただし、こうした観測は、実際の本番システムへの侵入が確認されたことを意味しません。4836

PHP2Shellの2件の脆弱性とは

2件の脆弱性は、報告されている原因が異なります。

• CVE-2026-109618は、メモリ不足時の処理に関係します。 PHPがメモリ不足に陥った際の処理が中断されると、リクエストに関する内部データが一部しか初期化されていない状態で残る場合があります。その後の後処理で、無効なデータが有効なものとして扱われるおそれがあります。58
• CVE-2026-109619は、解放後に残る内部状態に関係します。 リクエストに関係する状態が、そのデータを保持していたメモリの解放後も残り、解放済みメモリを参照する「use-after-free（解放後使用）」が発生する問題と説明されています。9

いずれも、ファイルアップロードなどで一般的に使われるmultipart形式を含む、細工されたHTTPリクエストの処理に関係します。47 攻撃が成功した場合、実行されるコードの権限はWebワーカーのアカウントに基づきます。自動的に管理者やrootの権限を得られる、という意味ではありません。1

深刻度9.2が示すこと、示さないこと

2件とも、**CVSS v4.0で10点満点中9.2、Critical（緊急）**と報告されています。ログインしなくても、影響を受けるサーバーでコード実行を試みられる点が、深刻なリスクの一因です。47

一方、参照できる資料にはCVSSの完全な評価ベクトルが含まれていません。そのため、個々の評価要素がどのように9.2というスコアにつながったのかを、正確に説明することはできません。深刻度スコアは脆弱性の重大さを示すものであり、特定のサーバーが攻撃される可能性や、観測された攻撃が成功したかどうかを示すものではありません。

影響するPHPの範囲と修正版

報告では、影響範囲はPHP 5.4以降とされています。55 PHP 8.xの各ブランチで公開された緊急修正版は次のとおりです。

PHPのブランチ	修正版
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

これらは2026年10月21日に公開されました。利用中のブランチに対応する修正版、またはそれ以降のバージョンへ更新してください。47

掲載されている修正版は8.2から8.5までのブランチが対象です。それより古いブランチやサポートが終了したバージョンを利用している場合は、PHPの配布元またはOSベンダーに、適用できる修正やアップグレード方法を確認してください。表にあるバージョンがそのまま適用できるとは限りません。

公開前後の悪用報告をどう見るか

脆弱性の情報は、当初予定されていた10月22日の公開より前の10月20日に公になり、PHPは10月21日に緊急修正版を公開しました。842 情報が予定より早く広まったことと修正公開が前倒しされたことは報告されていますが、Califのデモ動画が誤って公開されたことが前倒しの引き金だったとは、参照資料からは確認できません。

Amazon Threat Intelligenceは、10月17日付のMadPotハニーポットの記録に、PHP2Shellを使った攻撃の試みがあったと報告しました。これは一般公開の4日前にあたります。また、10月21日の修正版公開前後にも、複数の概念実証（PoC）エクスプロイトを確認したとしています。ハニーポットはおとりのシステムであり、そこでの観測だけでは実在する組織への侵入を確認したことにはなりません。48

Cloudflareは脆弱性の公表前後に防御策を展開したと報告しており、同時期の報道では、セキュリティ事業者が攻撃通信や試みを観測したと伝えられています。5535 ただし、悪用の規模や成功についての報告は一致していません。一部の事業者は大規模または進行中の悪用を主張する一方、当時の報道には、政府機関が攻撃の成功を確認していないとの内容もありました。3336

攻撃の試みを軽視すべきではありませんが、報告された試みをすべて侵入成功と見なしたり、攻撃が広範囲に成功したと結論づけたりする根拠はありません。影響を調べる際には、「試みがあったこと」「エクスプロイトが動作すること」「本番環境への侵害が確認されたこと」を区別する必要があります。

更新までの暫定対策

根本的な対策は、修正版のPHPをインストールすることです。 AWSは、アップグレードが完全な修正であると説明しています。すぐに更新できない場合、multipart形式のファイルアップロードを一時的にブロックするなど、露出を減らす措置が考えられます。ただし、こうした対策はアップデートの代わりにはなりません。4748

カナダのサイバーセンターは、脆弱性と未認証でのコード実行リスクについて重大な警告を発しました。2 また、参照資料は、NSAがすぐに更新できない場合はシステムをオフラインにするよう勧告したと伝えています。27 PHPが製品に組み込まれている場合や、ホスティング事業者が管理している場合は、利用環境に応じてベンダーや政府機関の勧告を確認してください。

要点は明快です。PHPが動いている場所を把握し、該当する修正版を適用し、セキュリティアラートは内容を見極めて調査すること。PHP2Shellは迅速な対応が必要な脆弱性ですが、攻撃の試み、動作するエクスプロイト、実環境で確認された侵害は、それぞれ別の事実です。