PHP2Shellの実悪用をCISAが確認、IPAも注意情報を更新

米国のCISAは2026年10月26日(米国時間)、PHPの脆弱性CVE-2026-109618とCVE-2026-109619を、実際に悪用された脆弱性の一覧「KEVカタログ」に追加しました。IPAも10月27日、注意情報を更新し、対策済みバージョンへの移行を求めています。

Webリクエストを処理するPHP 8.2～8.5は、8.2.35、8.3.36、8.4.27、8.5.12以降へ更新してください。IPAは国内の攻撃被害事例を把握していないと説明しています。

影響を受けるのはWebリクエストを処理するPHP

「PHP2Shell」と呼ばれる2件は、それぞれCVE-2026-109618がメモリー不足時の処理の不備、CVE-2026-109619がリクエスト間に残る内部状態の不備です。いずれも、ログインしていない第三者による遠隔からのコード実行につながる可能性があります。

PHP公式は、Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHPを対象として挙げています。mod_phpではアプリのコードが動く前の攻撃が実証されており、CVE-2026-109619では、アプリがセッションを扱う処理を経由して、PHP-FPMでもコード実行が検証されています。

修正版と更新までの対応

PHP2Shellの修正は10月21日のビルドに含まれています。Windows版は10月26日、同梱BrotliのCVE-2026-111497も修正した「-1」ビルドが追加配布されました。

Linuxディストリビューションなどが修正を取り込んだパッケージでは、上表と番号が異なる場合があります。各提供元の告知で、修正の適用状況を確認してください。

別のCVE-2026-115560については、実行時にセッションのシリアライズ形式(session.serialize_handler)を切り替える特殊な構成で、更新後も設定対策が必要です。PHP公式は次の通常リリースまでsession.upload_progress.enabled=0を推奨し、すでに適用した場合は維持するよう案内しています。実行時にセッション形式を変更しないアプリは、この機能を有効のまま使えます。

すぐに更新できない場合の暫定策はPHP公式告知にあります。公式は、これらが特定の攻撃経路を減らす措置であり、完全な対策には更新が必要だと説明しています。

旧系列は提供元の修正状況も確認

IPAは、調査に関わったWiz社の情報として、PHP 5.4以降は2件の少なくとも一方の影響を受けると紹介しています。PHP 8.1以前は、PHPプロジェクトによる通常のセキュリティ更新が終了しています。

今回の問題に対し、PHP公式は7.4・8.0・8.1向けにも、ソースから組み込むための最小限の修正を公開しました。旧系列の利用者は、OSや保守事業者による修正提供を確認し、サポート対象系列への移行を進めてください。

参考情報

• IPA: PHPの脆弱性対策について (10月27日更新)
• CISA: KEVカタログ
• PHP: 2026年のセキュリティ告知・更新情報