PHPに重大な脆弱性「PHP2Shell」が判明。CVSS 9.2の最高レベル警戒で緊急アップデート提供開始

結論：PHPの重大脆弱性「PHP2Shell」に対応する緊急アップデートが公開

多くのWebシステムやアプリケーションで利用されているプログラミング言語「PHP」において、「PHP2Shell」と呼ばれる非常に深刻な脆弱性が発見されました。これを受けて、PHP開発チームは日本時間の2026年10月21日深夜、対象となるバージョンの緊急アップデートを緊急リリースしました。

何が起きたのか：CVE-2026-109618とCVE-2026-109619の概要

「PHP2Shell」は、特定された2つの脆弱性「CVE-2026-109618」および「CVE-2026-109619」の総称です。共通脆弱性評価システムにおける深刻度（CVSSスコア）はCVSS 9.2に達しており、極めて危険度の高い問題として扱われています。

判明している技術的な内容は以下の通りです。

CVE-2026-109618：Upload-progress unserializer use-and-freeに関する脆弱性です。悪用された場合、リモートプロセス・メモリの開示などが引き起こされる可能性があります。
CVE-2026-109619：Fatal-error backtrace use-after-freeおよびOPcache type confusionに関する脆弱性です。プロセス・メモリの破損や任意のコード実行を引き起こす可能性があります。

これらの脆弱性が悪用された場合、攻撃者によってサーバーが乗っ取られ、機密データが盗み出されたり、サーバー上で稼働しているウェブサイトが改変されたりする危険性があります。

発見から報告への経緯：CalifとWizによる独立したアプローチ

今回の脆弱性は、セキュリティ企業のCalifおよびWizによって、それぞれ独立した形で発見されました。

報告までのタイムラインは以下の通りです。

Califのタイムライン：2026年8月1日に1つ目の脆弱性を発見し、8月11日にPHP開発チームへ報告を行いました。さらに同月8月21日には2つ目の脆弱性を発見しています。
Wizのタイムライン：WizはCalifとは独立して2026年8月19日に脆弱性を発見し、8月24日にPHPへ報告しました。

リリースされた緊急アップデート一覧

PHP開発チームは問題の深刻さを受け、サポートされている各バージョン系列に対して修正パッチを含む以下の緊急アップデートをリリースしました。

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

なぜ重要か・利用者や開発者への影響

PHPは世界中のWebサーバーや各種コンテンツ管理システム（CMS）の土台として広く使用されています。CVSS 9.2という高い深刻度が示すように、メモリ破損やコード実行を通じてサーバーの完全な乗っ取り、機密データの窃取、サイト改ざんといった壊滅的な被害をもたらすリスクが存在します。

Webサーバーの運用者、開発者、IT部門の管理者は、現在自社や顧客で稼働しているPHPのバージョンを確認し、修正済みバージョン（8.5.12、8.4.27、8.3.36、8.2.35）への早期アップデートを実施することが強く推奨されます。

未確定点と留意事項

公式の修正パッケージ自体はリリースされましたが、クラウド事業者や共有ホスティング、Linuxディストリビューションごとのリポジトリに反映されるタイミングは提供環境によって異なります。利用しているプラットフォームやプロバイダーのアナウンスを確認し、アップデート適用手順を順次進める必要があります。

まとめ

プログラミング言語PHPで発覚した「PHP2Shell（CVE-2026-109618、CVE-2026-109619）」は、CVSS 9.2を記録する非常に危険な脆弱性です。セキュリティ企業のCalifおよびWizによる独立した報告を経て、日本時間2026年10月21日深夜に修正版が配信されました。データ流出やサーバー乗っ取りを防ぐため、迅速な対応が求められます。