プログラミング言語PHPのセキュリティチームは、深刻な2件の脆弱性を修正する緊急アップデート（バージョン8.5.12、8.4.27、8.3.36、8.2.35）を公開しました。公式発表の報道解禁（エンバーゴ）前に詳細情報がインターネット上に流出したため、リリースは予定より1日前倒しされ、2026年10月21日14時00分（協定世界時、ブラジリア時間11時00分）に実施されました。国際的な脆弱性評価基準であるCVSS v4.0において、両方の欠陥は10点満点中9.2という極めて高い深刻度スコアを記録しています。
開発陣は2026年10月20日19時33分（UTC）に公式メーリングリスト「ANNOUNCE」で声明を出し、公開と同時にパッケージを適用できるようシステム管理者に準備を促していました。PHPのセキュリティチームはその際、「いずれかの脆弱性の詳細が公になった場合、または活発な悪用の兆候が確認された場合、予定より早く公開する権利を留保する」と表明していました。
報道解禁前の情報流出とメモリ処理に起因する2つの欠陥
サイバーセキュリティ企業のwatchTowrや欧州連合サイバーセキュリティ緊急対応チーム（CERT-EU）は、これらの問題を「CVE-2026-109618」および「CVE-2026-109619」と特定しました。専門家から「php2shell」と名付けられた両脆弱性は、事前の認証なしに攻撃者が標的サーバー上で任意のコマンドを実行できる遠隔コード実行（RCE）を引き起こします。公開後の技術報告によると、CVE-2026-109618はメモリ不足（OOM）エラー時の異常終了処理で未初期化のメモリ領域が残る問題に起因し、CVE-2026-109619は解放済みのリクエストメモリをグローバル状態が参照し続ける不具合によって発生します。
情報の流出は2026年10月20日、フォーラム「Hacker News」に「petecooper」というユーザーが投稿（後に削除）したことで始まり、SNS上で拡散されました。直後には、セキュリティ研究者のLCFR氏およびCalif.io社の成果として、研究者のKirill Firsov氏がphp2shellの攻撃連鎖を実演する動画を共有しました。watchTowrの最高経営責任者（CEO）であるBenjamin Harris氏は、「過去1時間の間に、PHPにおける2件の遠隔コード実行の脆弱性が漏洩した。これらは本来、報道解禁の制約下にあり、木曜日（22日）の米国東部時間11時に公開される予定だった」と説明し、「技術的な情報は共有できないが、これらの脆弱性が実在することを確認できる。両方のCVSSスコアは当初10とされ、PHPのバージョン5、6、7、8に影響を与えると理解している」と述べていました。
CloudflareやAmazonが検知した実攻撃とWeb環境への波及
パッチ公開当日の2026年10月21日07時43分（UTC）には、Cloudflareの最高技術責任者（CTO）であるDane Knecht氏が、PHPベースのサイトを狙った初期の攻撃試行を検知し始めたと発表しました。さらにAmazon Threat Intelligenceの調査により、情報公開の4日前にあたる2026年10月17日の時点で、匿名化ネットワーク経由の悪用試行がすでに発生していたことが判明しています。セキュリティ企業のSansecはパッチ公開から15分以内に自動化された大規模攻撃が始まると予測しており、実際に公開直後から複数の概念実証（PoC）コードが出回り、広範な攻撃が観測されています。
PHPはインターネットの基盤で最も広く使われているスクリプト言語の一つであり、WordPressなどのコンテンツ管理システム（CMS）や、Magento、Shopware、WooCommerceといった大手電子商取引プラットフォームを支えています。Palo Alto Networksの調査部門は、潜在的に脆弱な状態にあるインターネット上のインスタンスが2,260万台以上にのぼると特定しました。公式発表により、影響を受ける範囲はPHP 5.4.0から8.5までの全世代に及び、特にApacheの「mod_php」環境が最もリスクが高く、PHP-FPMやphp-cgi、FrankenPHP、LiteSpeedも影響を受けることが確認されています。
緊急アップデートの技術仕様と修正バージョン一覧
公開された修正パッケージおよび脆弱性の確定パラメータは以下の通りです。
- 脆弱性の識別コード：CVE-2026-109618（OOM破損によるRCE）およびCVE-2026-109619（古いグローバル状態によるRCE）、通称「php2shell」。
- 公式の深刻度評価：CVSS v4.0基準でそれぞれスコア9.2（CVSS 3.x基準では9.8および8.1）。
- パッチ公開日時：2026年10月21日14時00分（UTC、ブラジリア時間11時00分、米国東部夏時間10時00分）。
- 漏洩前の当初公開予定：2026年10月22日11時00分（ET）。
- 修正済みの公式リリース版（TenableおよびPHPプロジェクト確認）：PHP 8.5.12、8.4.27、8.3.36、8.2.35。
サポート終了版の扱いとサーバー保護に向けた緊急対策
公式の修正パッケージが提供されるのは、現在アクティブなサポート期間内にあるPHP 8.2、8.3、8.4、8.5の各系統のみです。すでに製品寿命（EOL）を迎えたバージョン8.2未満（PHP 5、7、8.0、8.1など）を運用している環境には、プロジェクトからの公式アップデートは配信されません。
直ちに侵害される危険性が高いことから、CERT-EUはセキュリティ警告「2026-018」を発令し、米国家安全保障局（NSA）や米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）も2026年10月21日から22日にかけて緊急のパッチ適用とサポート終了版の刷新、または対象システムのインターネットからの隔離を強く勧告しました。アップデート適用までの暫定的な緩和策として、SansecはWebサーバー上で「multipart/form-data」形式のリクエストを一時的に遮断することを推奨しているほか、セキュリティ各社はネット上に出回る未検証の概念実証（PoC）リポジトリにマルウェアが含まれている恐れがあるとして注意を呼びかけています。
