php2shell に関する覚え書き

正直に言って今回は対岸の火事だったのだが，世間的には大事になってる。 既にあちこちでまとめページができてるが，自分用の覚え書きとして，ここでも記しておく。

通称 php2shell は PHP 本体に見つかった2件の重大なリモートコード実行（RCE）脆弱性を指す。

• PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog
• RCE via OOM corruption (CVE-2026-109618)
• RCE via stale global state (CVE-2026-109619)
• Security advisory: Critical remote code execution vulnerabilities, update now - PHP: News Archive - 2026

CVE ID の末尾番号が十万台に達してるよ。 脆弱性の内容を Kagi Assistant に簡単に要約してもらった。

両者とも CVSSv4 スコアが 9.2 (Critical) と非常に高い。 PHP 開発チームは，Webリクエストを処理するPHP環境を対象として挙げていて，これには PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed などが含まれる。 製品としては WordPress, Drupal, Joomla で実証済みだそうな。 もちろん他にもあるだろう。

修正バージョンは以下の通り。

PHP系列	修正版
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

ただし PHP 5.4 以降の全てのバージョンに影響があるらしいので，古いバージョンを使っている場合は注意が必要である。 国内の主要なホスティング事業者の対応状況については piyolog さんのまとめが参考になる。

今回の修正版は，元々 2026-10-22 (EST) に公開する予定だったらしい。 日本時間だと23日早々か。 ところが PoC を含む脆弱性情報が事前に漏れてしまったらしく，2026-10-21 の 14時 UTC に前倒しになったようだ。 これが日本時間の23時。 深夜残業確定の瞬間である。

テレビも 𝕏 も見ないので知らなかったが，総理大臣自ら特別国会閉会後の記者会見で珍しく言及したらしい。 どうやら公的機関に PHP システムが多くあるようで（実際にかなりの数のサービスがメンテナンスで止まった），必要な措置だったのだろう。 緊急時に（通常パスをすっ飛ばして）トップダウンで指示が出せるのはいいことである。

個人的には公開スケジュールが前倒しになったのが気になる。 対策はきちんと行っておくとして，もうしばらくは注視しておいたほうがよさそうだ。

Internet Archive の話を見ても凄い時代になったなぁ，と思う。 AI が脆弱性を見つけ攻撃し，AI が防御し修正する。 ウロボロスかよ！ これに適応していかないといけないんだぜ。

なんにせよ，現場のエンジニアの方々におかれましてはお疲れ様でした。 ゆっくり寝て下さい。

そうそう。 今回の脆弱性は7月にあった wp2shell とは全く別である。 私は少し混同して，最初「また WordPress かよ」と思ってしまった（笑）

ブックマーク

• 【事前準備のお願い】PHPのセキュリティリリース公開予定について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
• PHP、重大な脆弱性2件を修正 ——認証なしのリモートコード実行に対処。直ちに更新するよう強く推奨（10月22日更新） | gihyo.jp
• PHPの2件の深刻な脆弱性(CVE-2026-109618、CVE-2026-109619)についてまとめてみた - piyolog : よいまとめ
• PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針 - GMO Flatt Security Blog
• PHP Core RCE Zero Day CVE-2026-109618/109619 Critical Fix

参考