緊急 PHP・Laravel2026.10.27

CISA が PHP2Shell を KEV に追加、悪用を確認(PHP 8.5.12・8.4.27・8.3.36・8.2.35 へ)

CVE-2026-109618 CVE-2026-109619CVSS 9.2

重要ポイント

何が起きたか: 米 CISA が、PHP の重大な脆弱性 CVE-2026-109618・CVE-2026-109619(PHP2Shell)を「悪用が確認された脆弱性(KEV)」のカタログに追加しました(2026年10月26日)。
対象: PHP 8.2〜8.5 の、修正版より前のバージョン。認証なしでリモートからコードを実行される(RCE)おそれがあります。
修正版: PHP 8.5.12・8.4.27・8.3.36・8.2.35 で修正済み。
期限: CISA は米国の連邦機関に、2026年10月29日までの対処を求めています。
緩和策: すぐに更新できないときは session.upload_progress.enabled = 0。

バージョンと対処(まずここを確認)

製品	影響を受けるバージョン	修正版(これ以上にする)
PHP 8.5	8.5.12 より前	8.5.12
PHP 8.4	8.4.27 より前	8.4.27
PHP 8.3	8.3.36 より前	8.3.36
PHP 8.2	8.2.35 より前	8.2.35
Amazon Linux 2023(php8.x)	ALAS 公開前のパッケージ	ALAS2023-2026-3301〜3304 のパッケージ

対処: PHP を上の修正版に更新します。Amazon Linux 2023 は sudo dnf update 使用中の php パッケージ名(例 php8.3)で更新し、php-fpm や Apache を再起動します。

確認: php -v と rpm -q php8.3-cli(使用している系列に読み替え)でバージョンを確認します。

概要

CISA は2026年10月26日、PHP2Shell の2つの脆弱性を KEV カタログに加えました。KEV は、実際に悪用されたことが確認された脆弱性の一覧です。修正版の公開(10月21日)から5日後で、同日の報道では研究者が実際に動く RCE をハニーポットで確認しています。まだ更新していない PHP サーバーは、今日中の更新をおすすめします。