PHP2Shell：PHPの二つの重大な脆弱性と対応

何が公開され、なぜ対応が必要なのか

2026年10月22日時点。PHPは21日、PHP2Shellと呼ばれるCVE-2026-109618とCVE-2026-109619の更新を公開しました。CMSプラグインだけでなく、ウェブ要求を処理するPHPエンジンの問題です。脆弱なサーバーでは未認証のコード実行が可能になる場合があります。急ぐ理由ですが、個別サイトが既に侵害された証明ではありません。

公式対象にはPHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedがあります。PHPはmod_phpを最高リスクとし、アプリコード以前の実証済み攻撃を説明しています。小規模、ログインなし、最新プラグインでは十分でありません。実際に要求を処理するPHPと修正を特定します。露出は版、提供元、設定次第で、この文章は個別サーバーの状態を診断しません。

二つの問題と修正版

CVE-2026-109618はメモリー不足処理中のメモリー破損に関係します。CVE-2026-109619は関連メモリー解放後に残る内部状態が同じワーカーの後続要求で再利用される問題です。PHP Foundationが原因と修正過程を説明しています。違いを理解し、万能設定一つへ単純化しないでください。更新判断に攻撃再現は不要で、公開サービスへの実証攻撃や故意の障害コマンドは掲載しません。

21日の修正版は8.5.12、8.4.27、8.3.36、8.2.35です。後続修正の可能性があるため作業前に最新告知を確認します。ディストリビューションは別の基本番号へバックポートする場合があり、UbuntuはUSN-8948-1にパッケージを示します。文字列だけでなく提供元告知とパッケージを照合してください。PHP 8.1以前は上流サポート終了で、配布元修正は上流サポートを復活させません。

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

ホスティングへ聞くことと管理者の確認

管理ホスティングには両CVE、導入パッケージ、対象サービス、活動プロセスの修正使用を確認します。端末だけでなくドメイン、プール、コンテナー、組み込み製品を含めます。コマンドライン版はウェブ実行版と同じとは限りません。自主管理なら公式配布経路を使い、復旧アクセスと適切なバックアップを保ち、未検証メッセージやリポジトリーの修正を入れないでください。

導入後は提供元に従いプロセスを更新し、稼働版やパッケージを検証します。主要機能を試し修正時刻を記録します。CMS更新やキャッシュ削除だけでは代用できません。侵害兆候があれば証拠を保持しインシデント対応へ進みます。修正は攻撃者の既存変更を元に戻しません。これらは運用上の完了確認で遠隔診断ではなく、トップページ復旧後も技術確認と機能試験が必要です。

すぐ更新できない場合とWikiURLの限界

PHPは更新のみが完全な解決と明言しています。一時対策は一部経路を減らしても安全化しません。影響を理解せずメモリーやセッション設定をコピーしないでください。ENISAは公開システム優先と、即時修正できなければ公開網からの隔離検討を勧めます。安全な管理接続と中断告知を管理者と調整します。WAF規則や正常に見えるアプリは代用でも全面保護保証でもありません。

WikiURLは保守後の公開URLのHTTP応答や到達先を確認できますが、実PHP版やCVE修正を認定しません。200やHTTPS鍵は脆弱性評価ではありません。秘密を送らず、証拠にphpinfoを公開しないでください。提供元確認、プロセス検証、機能試験を別々に残します。急いで更新し結果を確認し、根拠ない侵害断定と開くだけの安心を避けます。個別環境の修正済み認証を与える記事ではありません。