重要ポイント
- 何が起きたか: PHP の重大な脆弱性 CVE-2026-109618・109619(PHP2Shell)で、研究者が実際に動くリモートコード実行(RCE)をハニーポットで確認しました(2026年10月26日報道)。
- 悪用の状況: Apache mod_php の PHP 8.4.26 で成功を確認。Amazon は修正版の公開4日前から攻撃の試みを観測。CISA は 26日朝の時点で KEV(悪用が確認された脆弱性)には未追加です。
- 修正版: PHP 8.5.12・8.4.27・8.3.36・8.2.35 で修正済み。
- 緩和策:
session.upload_progress.enabled = 0。別の未修正 RCE(CVE-2026-115560)の緩和策にもなります。
追記(2026年10月27日): CISA が10月26日に CVE-2026-109618・109619 を KEV に追加しました(連邦機関の対処期限は10月29日)。→ 続報の記事
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| PHP 8.5 | 8.5.12 より前 | 8.5.12 |
| PHP 8.4 | 8.4.27 より前 | 8.4.27 |
| PHP 8.3 | 8.3.36 より前 | 8.3.36 |
| PHP 8.2 | 8.2.35 より前 | 8.2.35 |
| Amazon Linux 2023(php8.x) | ALAS 公開前のパッケージ | ALAS2023-2026-3301・3302〜3304 のパッケージ |
対処: PHP を上の修正版に更新します。Amazon Linux 2023 は sudo dnf update 使用中の php パッケージ名(例 php8.3)で更新し、php-fpm や Apache を再起動します。更新できない間は session.upload_progress.enabled = 0 を設定します。
確認: php -v と rpm -q php8.3-cli(使用している系列に読み替え)でバージョンを確認します。
概要
10月21日に修正版が公開された PHP2Shell について、26日、研究者が mod_php 構成のハニーポットで実際に動くリモートコード実行を確認したと報じられました。これまでは探索や動作しない攻撃の試みが中心でしたが、成功例が出た形です。研究者は、この結果は有利な条件の構成で得られたもので、他の構成での成功率を示すものではないと注意しています。まだ更新していない環境は、早めに修正版へ更新してください。
影響と対処
影響を受けるもの
PHP 8.2〜8.5 の修正版より前のバージョンが対象です。表のとおり、修正版は系列ごとに異なります。
対処方法
修正版へ更新するのが基本です。すぐに更新できないときは session.upload_progress.enabled を 0 にし、WAF の保護がある場合は有効にしておきます。コンテナや仮想環境で PHP を使っている場合は、イメージの作り直しも必要です。
確認方法
サーバーで php -v を実行し、系列ごとの修正版以上かを確認します。Web サーバー経由の PHP と CLI の PHP が別の場合があるので、phpinfo() 相当の方法でも確かめてください。
対応チェックリスト
- PHP のバージョンを確認する
- 8.5.12・8.4.27・8.3.36・8.2.35 以降に更新する
- php-fpm・Apache を再起動する
- 更新できないときは session.upload_progress.enabled を 0 にする
出典
- PHP2Shell security flaws now successfully exploited in the wild(BleepingComputer、2026年10月26日)
- PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開(当サイト、2026年10月22日)
