テックブログ

2026.11.2

PHPの重大な脆弱性「PHP2Shell」とは？企業が確認すべきポイント

営業チームのnabeです。
2026年10月21日、PHPに存在する重大な脆弱性「PHP2Shell」が公表されました。

今回の脆弱性は、CVE-2026-109618およびCVE-2026-109619の2件で、悪用された場合、認証を必要とせず外部からサーバー上で任意のコードを実行される可能性があります。WebサイトやWebサービスで広く利用されているPHPそのものに存在する脆弱性であるため、PHPを利用している企業は早急に影響を確認し、対応することが重要です。

PHP2Shellとは？

「PHP2Shell」は、PHPのリクエスト処理などに存在する2件の脆弱性を組み合わせた呼称です。今回問題となっているのは、以下の2件です。

CVE	概要	深刻度
CVE-2026-109618	メモリ不足（OOM）発生時のエラー処理に関する脆弱性	Critical（CVSS v4.0：9.2）
CVE-2026-109619	リクエスト処理における解放済みメモリの再利用に関する脆弱性	Critical（CVSS v4.0：9.2）

いずれも、攻撃者が細工したリクエストを送信することで、PHPのメモリ処理に不正な状態を発生させ、最終的に任意のコードを実行される可能性があります。

つまり、攻撃者にサーバーへのログイン情報を直接知られていなくても、インターネットから公開されているPHP環境が攻撃対象となる可能性があります。

何が危険なのか？

今回の脆弱性で特に注意したいのが、「PHPで動作しているアプリケーションそのものの脆弱性とは限らない」という点です。例えば、WordPressなどのCMSや独自開発したWebアプリケーションを利用している場合、「WordPressを最新版にしたから大丈夫」「プラグインに脆弱性がないから問題ない」とは限りません。

今回の問題は、アプリケーションの土台となるPHP本体に存在する脆弱性だからです。そのため、PHPを利用しているWebサイト・Webサービスでは、アプリケーションだけでなく、サーバー上で動作しているPHPのバージョンも確認する必要があります。

どのPHPが影響を受ける？

PHP公式のセキュリティリリースでは、以下のバージョンが修正版として公開されています。

PHP系統	修正版バージョン
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

上記より前の各バージョンは影響を受けるため、アップデートが推奨されています。また、PHPの古いバージョンについても影響を受ける可能性があるため、「8.2未満だから関係ない」という判断は避ける必要があります。

すでに攻撃が行われている可能性も

今回のPHP2Shellについては、脆弱性の詳細が公開された後、PoC（概念実証コード）が公開されており、複数のセキュリティ機関から攻撃試行が確認されています。シンガポールのサイバーセキュリティ当局も、PHP2Shellについて広範な悪用試行が確認されているとして、インターネットに公開されているシステムを優先して直ちにアップデートするよう呼びかけています。

また、SophosはPHP2Shellに関連するとみられる複数の攻撃試行を確認し、そのうち1件については悪用に成功した事例を報告しています。このような状況からも、単に「今のところ被害がないから様子を見る」のではなく、早急に対応することが重要です。

ご対応いただきたい3つのポイント

PHPを利用しているサーバーを洗い出す
PHPのバージョンを確認する
対象バージョンならアップデートを実施する（より古い場合はメジャーバージョンアップ）

WAFを導入していれば大丈夫？

「WAFを導入しているのでPHP2Shellは問題ないのでは？」という疑問を持つ方もいるかもしれません。WAFによって攻撃リクエストを検知・遮断できる可能性はありますが、WAFはPHPそのものの脆弱性を修正するものではありません。そのため、PHPのアップデート＋ WAFなどによる防御という多層的な対策が重要です。

実際に、セキュリティ企業からもWAFはリスクを低減する補完的な対策であり、PHP自体のアップデートが必要との注意喚起が出ています。