目次

PHPの重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）は、外部から任意コードを実行されるおそれがあり、CVSS v4.0のスコアは9.2とされています。修正版は2026年10月21日23時（日本時間）に公開予定です。公開されたら、影響するPHP環境へ速やかに適用できる準備を進めてください。

要点#

  • 脆弱性は「php2shell」と呼ばれ、メモリ破壊とセッション管理に関係する可能性があります。
  • PHP開発チームは2026年10月21日23時（日本時間）に修正版を公開する予定です。
  • session.upload_progress.enabled=0 は緩和策の候補ですが、攻撃を防ぎきれない見込みです。
  • パッチ公開前にPHPの利用環境と更新手順、更新後の動作確認方法を洗い出してください。

何が分かっているか#

公開情報とGMO Flatt Securityの調査では、本件はPHPのセッション管理に関係するメモリ破壊脆弱性と見られています。悪用された場合、外部から任意コードを実行される可能性があります。CVSS v4.0のスコアは2件とも9.2です。

研究者の投稿では、mod_phpやPHP-FPMを使う環境に加え、WordPress、Laravel、Symfonyでの再現が示されています。影響範囲はこれらに限られるとは言えません。記事の情報は速報段階であり、詳細はパッチ公開後に確認が必要です。

まず環境を洗い出す#

自社のWebサーバーやアプリケーションでPHPが使われている箇所を確認します。ホスト型の環境だけでなく、コンテナやクラウド上のサービスも対象に含め、PHPのバージョンと実行方式を記録してください。

環境ごとに、PHPの更新手順と、更新後にアプリケーションが動くことを確かめる手順を確認します。E2Eテストなどを使う場合は、担当者や実行方法も整理しておくと、パッチ公開後に着手しやすくなります。

公開前にできる緩和策#

記事では、PHPのSession Upload Progress機能を無効化する設定が緩和策として挙げられています。

settings.ini
session.upload_progress.enabled=0

ただし、GMO Flatt Securityの見立てでは、この設定だけでは攻撃を防ぎきれない可能性があります。適用する場合は、対象環境で設定変更の手順とアプリケーションへの影響を確認してください。根本対策は修正版の適用です。

影響を抑える準備#

緊急更新に伴う一時停止や接続断を想定し、関係者への連絡先と作業フローを確認します。サーバー内に置くデータを必要最小限にし、IAMロールやサービスアカウントなどの権限も見直してください。侵入後に読み取られる情報や、他のシステムへ広がるリスクを抑えられます。

ログが記録され、保全されているかも確認します。攻撃の有無や影響範囲を調べる際、ログが残っていない、または改ざんされていると、調査が難しくなります。

パッチ公開後の対応#

PHP開発チームは、2026年10月21日23時（日本時間）に修正版を公開する予定です。公開されたら、利用中のPHPのバージョンと対象範囲を確認し、準備した手順で更新してください。その後、アプリケーションの動作確認を行います。

次の一歩#

今日中にPHPを使うサーバーと担当者を一覧にし、パッチ公開後の更新・動作確認手順を各環境で確認してください。

出典: https://blog.flatt.tech/entry/php2shell

目次