プログラミング言語PHPのセキュリティチームは、深刻な脆弱性2件を修正する緊急アップデートを今週水曜日（21日）の14時00分UTC（ブラジル時間11時00分、米国東部夏時間10時00分）に公開する。公式の情報解禁日を迎える前にインターネット上で欠陥の概要が流出したため、当初予定されていた木曜日（22日）から配信スケジュールが前倒しされた。対象となる2つの欠陥は、システム障害や脆弱性の深刻度を10点満点で評価する国際基準「CVSS v4.0」において、いずれも9.2の深刻度スコアが割り当てられている。
開発陣は2026年10月20日火曜日の19時33分UTCに公式メーリングリスト「ANNOUNCE」で事前警告を発し、修正パッケージの公開と同時に適用できるようサーバー管理者に待機を要請した。セキュリティチームは声明の中で「いずれかの脆弱性の詳細が公になった場合、あるいは実際の悪用を示す証拠が確認された場合には、予定より早くリリースする権利を留保する」と説明している。
情報解禁前に漏洩した遠隔コード実行の欠陥と専門家の分析
PHPプロジェクトの公式通知では識別番号や技術的な仕様が伏せられているものの、サイバーセキュリティ企業のwatchTowrおよび欧州連合サイバーセキュリティ緊急対応チーム（CERT-EU）は、この2つの欠陥を「CVE-2026-109618」と「CVE-2026-109619」として特定した。専門家らの間で「php2shell」と呼ばれているこれらの問題は、事前の認証なしに外部から標的サーバー上で任意のプログラムを動かせる「遠隔コード実行（RCE）」の脆弱性とされる。watchTowrは内部環境でCVE-2026-109618の再現に成功したとみているが、公式パッチが配信されるまでは技術的な仕組みを公表しない方針を示した。
情報の流出は火曜日（20日）に始まり、技術系フォーラムのHacker Newsに「petecooper」と名乗るユーザーが投稿したメッセージ（現在は削除済み）をきっかけにSNS上へ拡散した。続いて、セキュリティ研究者のKirill Firsov氏が、研究者のLCFR氏およびCalif.io社のクレジットが入った「php2shell」の攻撃手順を示すデモンストレーション動画をインターネット上で共有した。初期のリーク情報やwatchTowrの当初の発表ではCVSSスコアが最高値の10.0と伝えられていたが、数時間後にPHPの保守担当者らが公式スコアを9.2と発表したことで数値に食い違いが生じている。
watchTowrの最高経営責任者（CEO）であるBenjamin Harris氏は、「直近1時間の間に、PHPにおける遠隔コード実行の脆弱性2件が漏洩した。これらは本来、情報解禁の制限下に置かれており、木曜日の11時ETに公表される予定だった」と述べた。同氏はさらに、「事案の機密性から現時点で技術的な情報を共有できない理由は明白だが、これらの脆弱性が実在することは確認できる。双方がCVSS 10の評価を受けており、PHPのバージョン5、6、7、および8に影響を与えると理解している」と付け加えた。
Cloudflareによる悪用試行の検知とウェブ基盤への波及
漏洩が起きた火曜日の時点では実際の侵入被害は報告されていなかったが、水曜日（21日）の朝に状況が一変した。07時43分UTCにCloudflareの最高技術責任者（CTO）であるDane Knecht氏が、PHPで構築されたウェブサイトに対して今回の脆弱性を突く初期段階の攻撃試行を検知し始めたと発表した。Cloudflareは一時的な防御措置として、ウェブアプリケーションファイアウォール（WAF）に緊急ルールを導入している。また、セキュリティ企業のSansecは、公式アップデートが公開された後、15分以内に自動化された大規模な攻撃が始まると予測した。
PHPはインターネットの基盤で最も広く使われているスクリプト言語の一つであり、コンテンツ管理システムのWordPressをはじめ、Magento、Shopware、WooCommerceといった主要な電子商取引（EC）プラットフォームの土台となっている。通称の「php2shell」は過去に発生した重大な脆弱性になぞらえた名称であり、保護されていないサーバーで遠隔操作用の端末（シェル）を奪われる危険性を示している。影響を受ける正確なバージョン一覧について開発チームの公式確認はまだ出ておらず、Hacker Newsでの漏洩情報やwatchTowrが世代5、6、7、8への影響を指摘する一方、流出した攻撃ツールの画面キャプチャやSansecはPHP 5.4.0以降のシステムが標的になると分析している。
緊急アップデートの配信時刻と修正対象バージョンの一覧
これまでに確認されている修正パッケージの公開スケジュールおよび脆弱性の技術的な分類データは以下の通りである。
- 脆弱性の識別コード：CVE-2026-109618およびCVE-2026-109619（通称php2shell）。
- 公式の深刻度評価：CVSS v4.0基準で双方とも9.2（10点満点）。
- 緊急パッチの公開日時：水曜日（21日）14時00分UTC（ブラジル時間11時00分、米国東部夏時間10時00分）。
- 漏洩前の当初の公開予定：木曜日（22日）11時00分ET。
- Tenable社などが予測する修正版の番号：PHP 8.5.12、8.4.27、8.3.36、8.2.35。
サポート終了版のリスクとサーバー管理者が取るべき防御策
水曜日（21日）に公式の修正パッケージが提供されるのは、現在アクティブなサポート期間内にあるPHP 8.2、8.3、8.4、および8.5の系統のみに限られる。すでに製品寿命（EOL）を迎えた8.2未満の古いエディション（PHP 5、7、8.0、8.1など）を運用している管理者は、プロジェクトからの公式アップデートを受け取ることができない。
直ちに侵入されるリスクが高まっていることを受け、CERT-EUはセキュリティ勧告「2026-018」を発令し、修正パッチが公開され次第すぐに適用できるよう準備するか、即座の更新が難しい場合はインターネットに公開されているアプリケーションを外部ネットワークから隔離するよう各組織に勧告した。また、Sansecはパッチ適用までの暫定的な緩和策として、ファイルアップロードなどに使われる「multipart/form-data」形式のリクエストをウェブサーバー側で一時的に遮断する方法を推奨している。
2つの脆弱性の正確な技術的原因や、特別な設定を行っていない標準構成のPHP環境がそのまま攻撃対象になるかどうかはまだ公表されていない。セキュリティ各社は、php2shellの実証コード（PoC）を装った公開リポジトリがネット上に出回り始めているものの、中身が検証されておらず悪意のあるプログラム（マルウェア）が含まれている危険性があるとして利用しないよう警告している。PHPの開発チームは水曜日（21日）の14時00分UTC（ブラジル時間11時00分）に、技術報告書の全文、影響を受けるバージョンの確定リスト、およびアップデート用ファイルを一斉に公開する。