先に予告されていたPHPの深刻な欠陥2件について、PHP開発チームが2026年10月21日、修正版を公開しました。対象の脆弱性はCVE-2026-109618とCVE-2026-109619で、いずれも深刻度の指標CVSS v4.0で9.2とされ、ログイン不要で外部から任意のコードを実行されるおそれがあります(こうした攻撃を「RCE＝遠隔コード実行」と呼びます)。「PHP2Shell」という通称でも呼ばれています。
修正されたのは、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つです。いま使っているPHPの系列(8.5、8.4、8.3、8.2)に応じて、それぞれ対応する最新版へ更新する必要があります。ほかの系列に切り替える必要はなく、同じ系列の最新パッチ版に上げれば足ります。
注意が必要なのは、サポートが終わった古い系列です。PHP 8.1以前には公式の修正版がありません。PHP開発チームはPHP 7.4〜8.1向けに、ソースコードからビルドする人向けの最小限の修正(バックポート)を公開していますが、通常の利用者には現実的ではないため、サポート中の系列への移行を検討するのが基本になります。セキュリティ企業Sansecは、このセキュリティホールの影響範囲について、PHP 5.4以降を使うすべてのWebサーバーに及ぶとしています。
悪用の状況は、報告によって見方が分かれています。Sansecは、Magento 2.4.9などの複数のPHPアプリケーションで認証なしの遠隔コード実行を確認したと報告しています。一方、Patchstackは公開直後の時点で、探りを入れる攻撃は観測されたものの、実際に侵害された確かな証拠はまだないとしています。いずれにしても、詳細が広く知られた段階で攻撃が増えるのが通例なので、早めの更新が安全です。
レンタルサーバーを使っている場合は、サーバー会社が更新を適用する側ですが、管理画面でPHPのバージョンを選ぶ方式のサービスでは、自分で最新のパッチ版や新しい系列に切り替える必要があることがあります。まずは自分のサイトのPHPバージョンを確認してください。すぐに更新できない場合の暫定策として、PHP 8.5では設定項目fatal_error_backtracesを無効にすると、確認されている攻撃経路をふさげるとされています(ホスティング事業者のInMotion Hostingが自社環境で実施)。ただし、これは一時しのぎで、根本的な対策は修正版への更新です。OSのパッケージ管理でPHPを入れている場合は、各ディストリビューションの更新パッケージが出るのを待って適用し、PHPを再起動することも忘れないでください。
出典: Sansec「PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)」