php2shell（PHP重大脆弱性）、保守会社からまだ連絡来ていない方へ

10月21日深夜、何が公表されたか

2026年10月21日23時、IPA（情報処理推進機構）が事前警告を発した通り、PHPの重大な脆弱性2件が正式に公開されました。発見者はクラウドセキュリティ企業のWiz Research、通称「php2shell」（CVE-2026-109618 / CVE-2026-109619）と呼ばれ、同日CISAも緊急アラートを発令しています。

深刻度を示すCVSSスコアは9.2（最大10）。この脆弱性はPHPの「セッションアップロード進捗（session upload progress）」機能に存在し、認証不要・アプリケーションコードより前の段階で悪用されます。WordPressに限らず、PHPで動くすべてのWebサイト・Webアプリケーションが対象です。

特に注目すべき点は、この脆弱性がPHP 5.4.0（2012年3月）の機能追加以来、14年間にわたり存在し続けていたことです。現在インターネット上のPHP設置の約69%がEOL（サポート終了）バージョンであり、公式パッチが提供されない状態にあります。

弊社ではこの公表を受けて既存の対策状況をすぐに確認し、当日中に完了させました。同業他社やお取引先にも同じリスクがある可能性があるため、今回の内容を共有します。

今回の脆弱性の概要

項目	内容
脆弱性名	php2shell（CVE-2026-109618 / CVE-2026-109619）
発見者	Wiz Research
公表日時	2026年10月21日 23時（IPA事前警告あり）
深刻度	CVSS 4.0: 9.2 / CVSS 3.1: 8.1（Critical）
攻撃の前提条件	認証不要・アプリケーションコード実行前に悪用可能
影響範囲	PHP 5.4.0（2012年）以降の全バージョン
攻撃状況	公表直後から自動スキャン・悪用を確認。Cloudflareは公表当日にWAFルールを全顧客へ自動展開
政府機関の対応	CISA緊急アラート発令・CERT-EU勧告発令

公表後に実施した確認・追加対応

既存の対策があったとはいえ、今回のような重大な脆弱性が公表された際には改めて状況を確認することが重要です。弊社ではセキュリティ専門会社ではないため、作業はサイトの保守をお願いしているパートナーと連携しながら進めました。以下の4点を当日中に確認・完了しています。

詳細な手順は弊社では責任を持ってお伝えできないため、対応はかならず保守担当者にご確認ください。

ステップ1：侵害の痕跡（不審なプラグイン・ユーザー）の確認

対策の前にまず「すでに攻撃を受けていないか」を確認しました。今回の脆弱性を悪用した攻撃では、管理者権限のユーザーを密かに追加したり、バックドアとなるプラグインを仕込んだりするケースが報告されています。管理画面のプラグイン一覧とユーザー一覧を精査し、見覚えのないものがないかをチェックします。

ステップ2：サイト全体のバックアップ取得

万が一の復元に備え、サイト全体をバックアップし、PCにダウンロードして保存しました。バックアップはサーバー内だけに置かず、必ず手元にも保存することが重要です。サーバー自体が侵害された場合、サーバー内のバックアップも同時に失われる可能性があります。

ステップ3：.htaccess設定の追加（※効果に注意）

公表直後の初期ガイダンスに基づき、セッションアップロード進捗機能を無効化する設定をサーバー設定ファイル（.htaccess）に追加しました。

ただしGMO Flatt Securityの追加調査により、この設定は今回の脆弱性に対して有効でないことが確認されています。理由は、.htaccessの設定はリクエスト処理開始後に評価されますが、脆弱なコードはその前段階で実行されるためです。また2つのCVEは独立した攻撃経路を持ち、片方を塞いでも完全な対策にはなりません。根本的な対策はPHPのアップグレードのみです。

ステップ4：PHPを修正済みバージョンに更新

唯一の完全な対策はPHPを修正済みバージョンに更新することです。PHP公式も「完全な緩和策は存在しない。アップグレードが唯一の安全な選択肢」と明言しています。PHP 8.1以前はサポートが終了しており公式の修正版が提供されないため、8.2以上への移行が必要です。

修正済みPHPバージョン一覧（php.net公式）

系列	修正バージョン	公開日時（UTC）
8.5系	8.5.12以上	2026-10-21 14:06
8.4系（推奨）	8.4.27以上	2026-10-21 14:07
8.3系	8.3.36以上	2026-10-21 14:07
8.2系	8.2.35以上	2026-10-21 14:09
8.1以前	修正版なし・8.2以上への移行が必要	—

自社サイトが心配な方へ——まず保守担当者に確認を

弊社はセキュリティの専門会社ではありません。この記事はあくまで「同じ立場の事業者として情報をお伝えしたい」という趣旨で書いています。技術的な判断や対応作業については、必ずサイトの保守・管理をお願いしている会社や担当者に相談してください。

保守契約がある方へ：きちんとした保守契約があれば、保守会社からすでに連絡が来ているはずです。今回はCISAが緊急アラートを発令するレベルの脆弱性であり、セキュリティ対応を含む保守契約であれば当日中に連絡があって然るべきです。もし連絡がない場合は確認してみてください。

保守担当者がいない方へ：サーバー会社のサポートに問い合わせるのが確実です。現在のPHPバージョンの確認と、修正済みバージョンへの更新を依頼してください。

技術的詳細（読み飛ばし可）

以下は技術的な内容です。保守担当者との会話や理解を深めたい方向けに記載しています。

2つのCVEの違い

今回は独立した2つの脆弱性が同時に公表されています。

CVE-2026-109618（GHSA-w8hw-w9fx-j79w）：OOM経由のUse-After-Free
メモリ枯渇（OOM）発生時のエラー処理に欠陥があり、解放済みメモリへの書き込みが発生します。Heartbleed類似のメモリ漏洩（他リクエストのパスワード・セッショントークンが漏洩する可能性）とRCEの両方が可能です。

CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：Stale Global State経由のUse-After-Free
あるリクエストのグローバル状態が解放後も次のリクエストに持ち越されます。セッション・エラー・OPcacheなどのグローバル状態が初期化前に参照・実行されRCEに至ります。

参考情報源

• php.net公式アドバイザリ: https://www.php.net/archive/2026.php#2026-10-21-5
• GitHub Security Advisory（CVE-2026-109618）: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• GitHub Security Advisory（CVE-2026-109619）: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• IPA事前警告: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
• CISA緊急アラート: https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• GMO Flatt Security解説: https://blog.flatt.tech/entry/php2shell
• Wiz Research（発見者）: https://wiz.io/blog/php2shell-php-rce
• piyologまとめ（日本語）: https://piyolog.hatenadiary.jp/entry/2026/10/21/174516

まとめ——対策のチェックリスト

弊社が今回実施した対応を参考としてまとめます。実際の作業は保守担当者にご相談ください。

対応内容	誰に頼む？	優先度
侵害の痕跡確認（プラグイン・ユーザー・ファイル）	保守担当者 or 自分で確認	今すぐ
サイトのバックアップ取得・PC保存	保守担当者 or 自分で	今すぐ
PHPを修正済みバージョンに更新（唯一の根本対策）	サーバー会社 or 保守担当者	今日中
更新後の動作確認	保守担当者と一緒に確認	更新直後
.htaccess設定（※効果限定的・保守担当者と要相談）	保守担当者に依頼	保守担当者と相談

サイバー攻撃は「大企業だけが狙われる」時代ではなくなっています。中小企業・個人事業主のサイトも日々自動スキャンされており、脆弱性があれば即座に狙われます。「うちは大丈夫だろう」という思い込みが一番危険です。

今回の情報は、弊社が実際に対応した内容と公開情報をもとに共有したものです。技術的な詳細や自社への影響については、必ずWebサイトの保守をお願いしている会社や専門家に確認することをおすすめします。この記事が、同じ状況にある事業者の方の気づきになれば幸いです。