PHPに重大脆弱性2件、認証なしのリモートコード実行が可能 —— 約7割のWebサイトで使うPHP、即時更新を

PHP開発チーム(PHP Foundation)は2026年10月21日、緊急のセキュリティリリースを公開し、PHP本体に存在するリモートコード実行(RCE)の脆弱性2件を修正しました。CVE番号はCVE-2026-109618とCVE-2026-109619で、CVSSスコアは9.2(重大)。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35の4系統です。W3Techsの統計ではサーバーサイド言語が判明しているWebサイトの約7割がPHPを利用しており、影響範囲の広さから「php2shell」の通称で呼ばれています。

1つ目のCVE-2026-109618は、リクエスト処理中にPHPのmemory_limit(メモリ上限)への到達が起きた瞬間を突く脆弱性です。メモリ枯渇時に初期化が完了していない内部データが「有効なデータ」として扱われてしまい、結果として任意のコード実行につながります。Apacheのmod_php構成では、認証を必要としない1つのリクエストがアプリケーションのコードが動く前に攻撃を成立させられ、既定設定で完全なRCEが再現されたと報告されています。2つ目のCVE-2026-109619は、リクエストをまたいで古い内部状態が残存するuse-after-free(解放済みメモリ利用)の脆弱性で、同じワーカーで後続のリクエストを処理する際に悪用されます。

影響はPHP-FPM、Apache(mod_php)、php-cgi、FrankenPHP、LiteSpeedなど主要な実行構成のすべてに及びます。セキュリティ企業のWizは、WordPress・Drupal・Joomlaといった主要CMSでの実証に加え、パスワード・トークン・APIキー・証明書といった機密情報を露出させるメモリ開示の経路も確認したと報告しています。

経緯も波乱含みでした。当初10月22日を予定していた発表の前日(10月20日)にCVE番号が外部に流出し、誤ったCVSSスコア(10.0)とともに拡散。PHPプロジェクトは発表を1日前倒ししました。公開時点では機能するエクスプロイトは確認されていないものの、概念実証(PoC)コードは既に公開されており、米国のCISAは10月21日に「即時のパッチ適用」を求めるアラートを、FBIサイバー部門も警戒を呼びかけています。

対応は修正版(8.5.12/8.4.27/8.3.36/8.2.35)への即時更新が最優先です。PHP公式は、主要Linuxディストリビューションのパッケージには事前にパッチが提供されているため、ディストリビューション提供版の利用も推奨しています。セキュリティサポートが終了したPHP 5.x〜8.1を使い続けている環境は修正版が存在しないため、php.iniに「session.upload_progress.enabled = Off」を設定した上で、WAFやVPNの背後に置くなどインターネットからの直接アクセスを減らす緩和策が必要です。セキュリティ企業Huntressは、ベンダーソフトに同梱されるphp.exe/php-cgi.exe、cPanel/Plesk環境、WordPress等のCMSを含めて「自社で動いているPHPの棚卸し」を促しています。

今回の脆弱性は、2024年にQuarkslabが実施したPHP初の外部セキュリティ監査(OSTIF経由、Sovereign Tech Agencyの資金提供)で兆候が見つかり、2026年8月に研究者とOpenAIが独立に悪用可能なRCEを報告したことで修正が最優先化された経緯があります。PHP Foundationは「小規模なセキュリティチームに依存する構造的な失敗だった」と説明しており、PHPで稼働するサービスを運用する企業・開発者は、本件を機に利用中のPHPバージョンとサポート期限の棚卸しを行うことが有効です。