php2shellの脆弱性について

php2shellの脆弱性「PHP」に複数の深刻な脆弱性が確認された。PHPのセキュリティチームは、10月21日に修正版をリリースする計画で、利用者にアップデートの準備を呼びかけている。脆弱性2件が確認されたとして、現地時間2026年10月20日にセキュリティアップデートのリリースについて事前予告を行ったもの。

ウェブサイトやウェブアプリの開発に広く使われているプログラミング言語「PHP」に深刻な脆弱(ぜいじゃく)性が2件見つかり、開発チームが2026年10月21日に緊急のセキュリティ更新プログラムを公開すると発表しました。

スクリプト言語「PHP」のセキュリティチームは10月20日（協定世界時）、「PHP」で重大なセキュリティリリースを行うと事前告知した。リリースは10月21日14時（協定世界時、日本時間では同日23時）に予定されている。

　このセキュリティアップデートでは、2件の“致命的”（Critical）な脆弱性に対処するとのこと。「CVSS 4.0」の基本値はいずれも『9.2』と評価されている。脆弱性の詳細、影響を受けるバージョン、修正済みのバージョンは、リリースと同時に公開される予定だ。

　また、いずれかの脆弱性の詳細が公になったり、実際に悪用されている証拠が見つかったりした場合は、予定より早くリリースする可能性があるという。

　GMO Flatt Securityによると、発見に関与したとみられる研究者の投稿でこの脆弱性は「php2shell」と呼ばれている。同社はCVE番号を「CVE-2026-109618」「CVE-2026-109619」としており、外部から任意のコードを実行（RCE）されるメモリ破損系の脆弱性とみられるという。研究者の投稿によれば、「mod_php」「PHP-FPM」や「WordPress」「Laravel」「Symfony」など、さまざまな構成で攻撃が再現するようだ。

• PHP開発チームは、修正版を10月21日23時（日本時間）に公開する予定です（公式告知）。
• 当該脆弱性群は「php2shell」とも呼ばれ、外部からの任意コード実行脆弱性（RCE）と見られます。
• 当該脆弱性は、研究者の投稿によれば、mod_php/php-fpm、WordPress/Laravel/Symfony 等様々な構成で攻撃が再現するようです。
  • これらは影響範囲の一部と考えられ、他にも影響は十分考えられます。
• 当該脆弱性は、研究者の投稿によれば、メモリ破壊系バグと見られます。
• 当該脆弱性は、弊社調査によれば、セッション管理に関係すると見られます。
• 当該脆弱性を悪用できると主張するコードが、既にインターネット上に出回り始めています（2026/10/21 14時 日本時間 追記）。
• 当該脆弱性による攻撃は、session.upload_progress.enabled の設定のみでは緩和にとどまり、攻撃自体は回避できない見込みです（2026/10/21 14時 日本時間 追記）。