# php2shell ## 概要 2026年10月に情報がリークし、同月21日に[[PHP]]開発チームが修正版を公開した、[[PHP]]本体に存在した2つの重大な脆弱性の通称。 これらの脆弱性を悪用することで外部の攻撃者が認証なしで[[リモートコード実行]]を行える可能性がある。本来は2026年10月22日に情報公開される予定だったが、事前に情報がリークされたため予定を前倒しして2026年10月21日14時（日本時間で10月21日23時）に修正版が提供された。 修正版の提供前には脆弱性の悪用を実演したものとされる映像などが出回り[[ゼロデイ攻撃]]への懸念が高まった。これを受けて多くのWebサービスの運営者が緊急対応を迫られ、一部ではメンテナンスに伴うサービスの一時停止も発生した。 ## 詳細 ### 脆弱性の基本情報 発見された2つの脆弱性にはそれぞれ次の[[CVE]]識別番号が付与された： - CVE-2026-109618 - CVE-2026-109619 いずれも[[CVSS|CVSS 4.0]]の基本値は9.2で、深刻度はCriticalと評価されている。 #### CVE-2026-109618：メモリ不足時の破損を利用したRCE PHPがメモリ不足（[[Out Of Memory]]）によって処理を中断する際、内部のリクエストデータが完全に初期化されていない状態で残ることがある。その後のリクエスト終了処理（クリーンアップ）で不正な状態が有効なものとして扱われ、リモートコード実行につながる可能性がある。 #### CVE-2026-109619：古いグローバル状態を利用したRCE リクエストに属する内部状態が、対応するメモリの解放後も残存することがある。同じワーカーが後続のリクエストを処理する際、通常の初期化処理で状態がリセットされる前に古い状態が使用され、リモートコード実行につながる可能性がある。 ### 影響バージョンと修正版 PHP開発チームは2026年10月21日に次のバージョンを公開し、2件の脆弱性を修正した。 | 影響するブランチ | 影響バージョン | 修正版 | | -------- | ------------ | ------ | | PHP 8.5 | 8.5.0〜8.5.11 | 8.5.12 | | PHP 8.4 | 8.4.0〜8.4.26 | 8.4.27 | | PHP 8.3 | 8.3.0〜8.3.35 | 8.3.36 | | PHP 8.2 | 8.2.0〜8.2.34 | 8.2.35 | PHP 8.1以前はPHP開発チームによるサポートが終了しており、公式の修正版は提供されない。ただし、Linuxディストリビューションや長期サポートを提供するベンダーが独自に修正をバックポートしている場合がある。該当する環境では利用しているベンダーのセキュリティ情報を確認する必要がある。 ## 関連ノート - [[2026-10-22 php2shell騒動を観察する]] ## 関連リンク ### CVE情報 - [CVE Record: CVE-2026-109618](https://www.cve.org/CVERecord?id=CVE-2026-109618) - [CVE Record: CVE-2026-109619](https://www.cve.org/CVERecord?id=CVE-2026-109619) ### 報道・情報源 - [【事前準備のお願い】PHPのセキュリティリリース公開予定について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構](https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html) - [PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針 - GMO Flatt Security Blog](https://blog.flatt.tech/entry/php2shell) - [「PHP」に“致命的”な脆弱性2件、日本時間21日深夜に緊急のセキュリティリリースへ【15時20分追記】 - 窓の杜](https://forest.watch.impress.co.jp/docs/news/2149962.html) - [修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた - piyolog](https://piyolog.hatenadiary.jp/entry/2026/10/21/174516)