PHPの開発チームは10月21日、緊急度の高い脆弱性（セキュリティ上の弱点）2件を修正した更新版を公開しました。この2件の脆弱性は、「php2shell」という通称で広く知られるようになっています。
修正版の公開前にもお知らせしましたが、今回の公開によって、影響を受けるバージョンや更新先のバージョンが明らかになりました。PHPで動くWebサイトやWebシステム全般が対象となるため、できるだけ早い更新が必要です。
そこで今回は、php2shellの内容と影響を受けるバージョン、サイトオーナーが今すぐ行いたい対応をお伝えします。
公開された脆弱性の内容
php2shellは、今回修正された次の2件の脆弱性をまとめて指す通称で、PHPの公式発表では使われていない名称です。
- CVE-2026-109618：メモリ不足が起きたときの処理の不具合を突くもの
- CVE-2026-109619：処理を終えたあとに残った古いデータが、次の処理で使われてしまう不具合を突くもの
どちらも、ログインなしで外部からサーバー上の任意のプログラムを実行されるおそれがあり、サイトの改ざんなどにつながる可能性があります。対象は、Webサイトの表示などでPHPを動かしているサーバー全般です。
サーバーの構成によっては、サイトのプログラムが動き始める前の段階で攻撃が成立することも確認されています。こうした深刻さから、PHPの開発チームはすべての利用者に、すぐに更新するよう強く呼びかけています。
修正版と影響を受けるバージョン
修正版は、PHPのバージョンの系列ごとに公開されています。お使いの系列に合わせて、次のバージョン以降へ更新します。
- PHP 8.5系：8.5.12
- PHP 8.4系：8.4.27
- PHP 8.3系：8.3.36
- PHP 8.2系：8.2.35
それぞれの系列で、上記より前のバージョンは影響を受けるため更新が必要です。一方、PHP 8.1以前には、PHPの開発チームからの更新が提供されません。サーバー会社やOSの提供元が独自に修正を届けている場合もあるため、まずは提供元に確認し、あわせてサポート中のバージョンへの切り替えを検討します。なお、今回は深刻さを踏まえ、PHPを自分で組み立てて使う人向けに、7.4・8.0・8.1用の最小限の修正も例外的に用意されています。
また、PHP 8.2は2026年12月31日でサポートが終了し、それ以降はセキュリティ修正が提供されません。今回8.2.35へ更新した場合も、新しい系列への切り替えを早めに計画しておくと安心です。
今すぐ行いたい対応
まずはお使いのPHPのバージョンを確認し、上記の修正版へ更新します。バージョンの確認方法や更新を担当する人の確かめ方は、修正版の公開前に確認しておきたいことを参考にチェックしてみてください。
更新の進め方は、サイトを置いているサーバーによって変わります。
- レンタルサーバーの場合：サーバー会社が更新を行うことが多いものの、時期や手順は会社ごとに異なります。サーバー会社からのメールや、管理画面のお知らせを確認します。
- 自社でサーバーを管理している場合：サーバーの管理を担当している人や会社に、修正版への更新を依頼します。
すぐに更新できないときに被害を減らす設定も案内されていますが、あくまで応急処置で、攻撃を完全には防げません。安全に使い続けるには修正版への更新が欠かせないため、できるだけ早く更新します。
更新作業についてのご相談
PHPの更新作業は、サイトやシステムの仕組みによって専門的な知識が必要になることがあります。保守契約を結んでいる制作会社・開発会社や、サイト・システムの制作や管理を依頼している会社がある場合は、まずはそちらへご相談ください。
相談できる先が無くお困りの場合は、お問い合わせページからご相談ください。お問い合わせ内容は「PHPの緊急脆弱性の対応をこのサイトで行いたい」などのようにご入力ください。
まとめ
さて今回は、php2shellの内容と影響を受けるバージョン、今すぐ行いたい対応をお伝えしました。
php2shellは、ログインなしで外部からプログラムを実行されるおそれがある深刻な脆弱性で、PHPで動くサイトやシステム全般が対象です。確実な対策は8.5.12・8.4.27・8.3.36・8.2.35のいずれかへの更新で、PHP 8.1以前を使っている場合は、サポート中のバージョンへの切り替えも検討が必要です。
更新作業には手間がかかるかもしれませんが、サイトを安全に使い続けるための大切な対応です。
まずはお使いのPHPのバージョンを確認し、修正版への更新を進めてください。