PHPに任意コード実行の脆弱性、IPAが最新版への更新を呼びかけ

AI生成記事についてこの記事は公開情報をもとにAIが自動生成しています。事実確認を行ったうえで公開していますが、正確性を保証するものではありません。最終的な判断は記事末尾の出典元をご確認ください。

IPA（情報処理推進機構）は2026年10月22日、The PHP Groupが提供するPHPに、遠隔の第三者によって任意のコード実行が行われる可能性がある脆弱性が報告されているとして、対策情報を公開しました。対象はメモリ不足（OOM）のエラー処理に起因する脆弱性（CVE-2026-109618）と、リクエスト処理に関連する脆弱性（CVE-2026-109619）で、これらを組み合わせたものを「PHP2shell」と呼ぶとしています。IPAは10月21日に公表したセキュリティリリース公開予定の続報として、リリースが公表されたことを受け、対策の実施を検討するよう案内しています。

影響を受けるバージョン

影響を受けるのは、PHP 8.2.35より前の8.2系、PHP 8.3.36より前の8.3系、PHP 8.4.27より前の8.4系、PHP 8.5.12より前の8.5系の各バージョンです。調査に関与したWiz社によれば、PHP 5.4以降のバージョンはこれらの脆弱性のいずれかの影響を少なくとも受けるとのことです。PHPは様々なウェブアプリケーションやソフトウェア製品で利用されており、自組織で開発・利用している製品等への影響については、開発者やサービス提供元の情報を確認するよう求めています。

修正版と推奨対応

開発者は本脆弱性を修正したPHP 8.2.35、8.3.36、8.4.27、8.5.12をリリースしており、開発者が提供する情報をもとに最新版へアップデートするよう案内しています。アドバイザリでは脆弱性の影響を受けやすい構成例や緩和的な対処方法も案内されており、セキュリティリリースの対応が困難な場合はこれらの情報を踏まえて対応方法を検討するよう求めています。PHP 8.1以前はサポート終了となっており、修正プログラムが提供されないバージョンを利用している場合は、サポートが提供されているPHPへの更新や対策済みの製品・サービスへの移行を検討する必要があるとしています。

更新後の維持管理体制にも言及

IPAは10月27日、CVE-2026-109618とCVE-2026-109619が2026年10月26日（現地時間）にCISAのKEVカタログへ悪用された脆弱性として掲載されたと追記しました。国内での攻撃被害の事例は把握していないとしつつ、改めて情報を確認し、対策済みバージョンへの移行を進めるようお願いしています。また11月2日には、PHPがVPN機器やセキュリティアプライアンス製品のウェブインターフェースなど様々なところで利用されているとして、製品開発者が発信する脆弱性対策情報を注視し、アップデート等が提供された際には適用するよう追記しました。長期更新していないシステムでは改修や動作確認、資料・ノウハウの不足、担当者の不在、保守契約の終了などにより対策が難しくなっている場合があるとし、システム管理担当者だけでなく事業責任者や経営層も含めて人員・予算・保守体制を確保できるか検討するよう求めています。

今回の情報は、自組織が直接PHPを開発・運用していない場合でも、VPN機器やセキュリティアプライアンスなど製品内部でPHPが使われている可能性を踏まえた確認が求められる点を示しています。一方で、影響の有無や対策の要否は製品開発者やサービス提供元の情報に依存するため、自組織の環境でどの製品が該当するかを個別に確認する必要があります。

出典元：更新：PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)（公開日：2026-11-01T15:00:00.000Z）