PHPにおける深刻な脆弱性 PHP2Shell について

1 はじめに
2 脆弱性の概要
3 影響を受ける PHP バージョン
4 主要なディストリビューションの状況

はじめに

2026 年 10 月 21 日、PHP において深刻なリモートコード実行 (RCE) の脆弱性 2 件 (CVE-2026-109618、CVE-2026-109619、通称「 PHP2Shell 」) が公表されました。

PHP のセキュリティアドバイザリでは、深刻度は Critical と評価されています。

同日夜には高市首相が自身の X 上で「今夜に対応して頂きたい大至急のお願い」とポストし、パッチ適用や、Web サイトの一時停止を呼びかけるという異例の事態に発展しました。

https://x.com/takaichi_sanae/status/2112890642590564386

脆弱性の概要

PHP2Shell とは、以下2つの PHP 処理系における脆弱性の通称です。

CVE-2026-109618
CVE-2026-109619

本脆弱性が悪用された場合、認証されていないリモートの攻撃者によって、対象サーバ上で任意のコードが実行される可能性があります。これにより、サーバの不正操作や Web サイトの改ざん、機密情報の漏えいなどの被害が発生するおそれがあります。

以下 2 つの問題により、リモートコード実行が可能となります。

細工した HTTP リクエストで out-of-memory(OOM) エラーを引き起こすと、初期化処理が途中で中断され、不正なメモリ状態が残る
別の HTTP リクエストを処理する際に、その不正なメモリを参照してしまう

本脆弱性には有効な回避策が存在せず、修正済みバージョンへの更新が唯一の根本対策とされています。

参考

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

https://www.php2shell.com/

https://www.php.net/archive/2026.php#2026-10-21-5

影響を受ける PHP バージョン

影響を受けるバージョンと修正済みバージョンについては以下の通りです。

系列	影響を受けるバージョン	修正済みバージョン
8.2	8.2.35より前	8.2.35
8.3	8.3.36より前	8.3.36
8.4	8.4.27より前	8.4.27
8.5	8.5.12より前	8.5.12

影響を受けるバージョンをご利用の場合は、上記の修正済みバージョンへ移行してください。

なお、サポートが終了している PHP 7.4 / 8.0 / 8.1 については、最小限のパッチが公開されています。ただし、これらを利用する場合は、自身でソースコードからビルドし直す必要があります。

https://www.php.net/archive/2026.php#2026-10-21-5

Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor.

主要なディストリビューションの状況

Red Hat Enterprise Linux（RHEL）

Red Hat は本脆弱性の深刻度を「 Important 」と評価しています。

RHEL では一般的に PHP-FPM が使用されており、リモートコード実行を成立させることが困難であるとのことです。

RHEL 8 / 9 / 10 におけるセキュリティ修正 (RHSA) が公開されています。影響を受ける具体的なコンポーネントや修正済みパッケージのバージョンについては、以下の公式情報を参照してください。

CVE-2026-109618: https://access.redhat.com/security/cve/cve-2026-109618
CVE-2026-109619: https://access.redhat.com/security/cve/cve-2026-109619

Rocky Linux

Rocky Linux は RHEL の方針に準拠しており、本脆弱性の深刻度はアップストリームと同様に「 Important 」として扱われています。

Rocky Linux 8 / 9 / 10 におけるセキュリティ修正 (RLSA：Rocky Linux Security Advisory) が公開されています。影響を受ける具体的なコンポーネントや修正済みパッケージのバージョンについては、以下の公式情報を参照してください。

Rocky Linux Errata: https://errata.rockylinux.org/

AlmaLinux

AlmaLinux のセキュリティアドバイザリにおける深刻度は、Red Hat に準拠した「 Important 」として扱われています。
AlmaLinux 8 / 9 / 10 におけるセキュリティ修正 (ALSA：AlmaLinux Security Advisory) が公開されています。影響を受ける具体的なコンポーネントや修正済みパッケージのバージョンについては、以下の公式情報を参照してください。

公式アナウンス: https://almalinux.org/blog/2026-10-21-php2shell-cve-2026-109618-cve-2026-109619/
AlmaLinux Errata: https://errata.almalinux.org/

Ubuntu

Canonical は、本脆弱性の深刻度を PHP 開発元と同様に「 Critical 」と評価しています。

現在サポート対象となっている主要リリース (26.10、26.04 LTS、24.04 LTS、22.04 LTS など ) 向けに、セキュリティパッチ (USN：Ubuntu Security Notice) が公開されています。
影響を受ける具体的なコンポーネントや修正済みパッケージのバージョンについては、以下の公式情報を参照してください。