HIXOR
セキュリティ情報 — 脆弱性情報
世界 · 脆弱性情報
日本 · 脆弱性情報
PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）
情報源と確認状況
- 情報源
- IPA（独立行政法人 情報処理推進機構）
- 原典
- 公式発表ページ（原典）
- 公開日
- 2026年10月22日
- 更新日
- 2026年11月2日
- 最終確認日
- 2026年11月7日 （HIXOR が原典を確認した日）
本ページは公的機関の発表を要約したものです。正確な内容は原典をご確認ください。要約と原典が異なる場合、原典が優先します。
概要
IPA は、PHP の2件の脆弱性に関する対策情報を公表しました。メモリ不足（OOM）エラー処理に関する脆弱性（CVE-2026-109618）と、リクエスト処理に関する脆弱性（CVE-2026-109619）で、この2件を組み合わせた攻撃は「PHP2shell」と呼ばれています。組み合わせにより、リモートからコードを実行される可能性があります。
影響を受ける対象
- PHP 8.2系： 8.2.35 より前
- PHP 8.3系： 8.3.36 より前
- PHP 8.4系： 8.4.27 より前
- PHP 8.5系： 8.5.12 より前
- なお、Wiz社の指摘では、少なくとも一方の脆弱性については PHP 5.4 以降が影響を受ける可能性があります
推奨する対応
- 修正済みバージョンへ更新する（8.2系は 8.2.35、8.3系は 8.3.36、8.4系は 8.4.27、8.5系は 8.5.12）
- 更新が難しい場合は、利用中のバージョンのサポート状況を確認する（8.1系以前はサポート終了（EOL）のため、修正は提供されません）
- 暫定措置として、アクセス制限などの実施を検討する
- 移行やサービス停止の判断も含めて検討する
原典の更新履歴
- 2026年10月27日：両CVEが、米国時間2026年10月26日にCISAのKEVカタログへ追加された旨が追記されました。なお、IPAは国内での攻撃被害は確認していないとしています。
- 2026年11月2日：PHPはVPN機器やセキュリティアプライアンスのウェブ管理画面等でも使われているため、製品ベンダーのアドバイザリにも注意するよう追記されました。