Webアプリケーションの開発や運用で広く利用されているプログラミング言語「PHP」において、深刻な脆弱性が発見されました。悪用された場合、遠隔の第三者によって任意のコードを実行される危険性があり、開発元やセキュリティ機関が急速な対処を呼びかけています。

PHPに重大な脆弱性「PHP2Shell」が発覚——Webサイトやシステムに任意のコード実行のリスク

The PHP Groupが提供するPHPにおいて、メモリ不足（OOM）処理およびリクエスト処理に起因する重大な脆弱性（CVE-2026-109618、CVE-2026-109619）が報告されました。これらの脆弱性を組み合わせた攻撃手法は通称「PHP2Shell」と呼ばれており、攻撃者に悪用されると、遠隔からサーバー上で任意のコードを実行されるおそれがあります。

調査に関与したWiz社によると、PHP 5.4以降のバージョンが少なくともいずれかの脆弱性の影響を受けるとされています。PHPは数多くのWebサイトやシステムで採用されているため、広範囲な影響が懸念されます。

影響を受けるシステム

• PHP 8.2系：8.2.35より前のバージョン

• PHP 8.3系：8.3.36より前のバージョン

• PHP 8.4系：8.4.27より前のバージョン

• PHP 8.5系：8.5.12より前のバージョン

主な対策と推奨される対応

被害を防ぐため、システム管理者や開発者は以下の対策を速やかに講じることが推奨されます。

1. 最新版へのアップデート

開発元から修正プログラムが提供されています。以下の対策済みバージョンへ至急アップデートを行ってください。

• PHP 8.2.35

• PHP 8.3.36

• PHP 8.4.27

• PHP 8.5.12

2. サポート終了（EOL）バージョンの確認と移行

PHP 8.1以前のバージョンはすでにサポートが終了（End of life）しており、今回の脆弱性に対する修正プログラムは原則として提供されません。旧バージョンを利用している場合は、サポート対象内のPHPへの更新や、対策済み製品への移行を検討する必要があります。

3. 即座のアドバイザリ対応が難しい場合の暫定措置

システムの依存関係や運用上の理由ですぐにアップデートを行えない場合は、以下のステップでリスク軽減を図ることが求められます。

1. アドバイザリ情報の確認：公式セキュリティ情報（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）で示されている構成例や緩和策を確認・適用する。

2. 暫定的なアクセス制限：更新までの間、外部からのアクセス制限やネットワーク分離を行う。必要に応じてサービスの一時停止も視野に入れる。

3. 組織的な方針決定：長期間更新されていないシステムについては、改修コストや運用体制（人員・予算）を事業責任者や経営層を含めて確認し、システムの移行・機能縮小・公開停止を含めた方針を決定する。

自組織で運用・利用しているWebアプリケーションやソフトウェアの影響範囲については、導入元や製品ベンダーからの情報をご確認ください。

関連情報・問い合わせ先

• 問い合わせ先：IPA セキュリティセンター

• ※個別のシステム環境に関する問い合わせには対応できない場合があるため、各製品ベンダーへ直接問い合わせることが推奨されています。