「PHP2Shell」と呼ばれた2つの重大なPHP脆弱性がウェブの大部分を露出させる

2026年10月21日、PHPプロジェクトはセキュリティ研究者が2つの重大なリモートコード実行脆弱性を公開した後、言語のパッチ版をリリースしました。これらはまとめて「PHP2Shell」というニックネームで追跡されました。CVE-2026-109618およびCVE-2026-109619として追跡される脆弱性は、クラウドセキュリティ企業Wiz Researchによって発見されました。Wiz Researchは、CalifおよびOpenAIの組織が発見、調整、パッチ検証への貢献があったとクレジットしています。Wizの公開記述によると。

2つの脆弱性が何をするのか

Wizは、2つのCVEが実際には4つの異なる根本的なバグをまとめていると述べています。CVE-2026-109618は、PHPのセッションアップロード進行逆シリアライザーのuse-after-freeフローをカバーしており、リモートコード実行のために悪用できます。さらに、認証なしで実行中のPHPワーカープロセスからメモリをリークできる関連するバグがあります。CVE-2026-109619は、PHPの致命的エラーバックトレース処理のuse-after-freeおよびOPcacheの別のタイプ混乱フローをカバーしています。OPcacheはPHPの共有メモリバイトコードキャッシュです。

Wizによると、両方の問題はほぼすべてのPHPリクエストが通過するコードパスにあります：メモリ管理とエラー処理。PHP Foundationは、SecurityWeekが報告したコメントで同じポイントを述べています。

発見のタイムライン

Wiz Researchチームは、ブログポストでSagi Tzadik、Shir Tamari、Nir Ohfeld、およびTomer Schwartzと名付けられています。チームは2026年8月19日に最初のバグを発見したと述べています。続く2日間でWordPressおよびDrupalのインストレーション対する動作するリモートコード実行エクスプロイトを確認しました。チームは2026年8月24日にPHPセキュリティチームに調査結果を報告しました。公開開示と対応するパッチは2026年10月21日に続きました。

Wizは、Google Gemini 4 ArgonおよびOpenAI GPT-5.6 Solを含むAIコーディングモデルを使用して、概念実証エクスプロイトの構築を支援したと述べています。以前は専門研究者が数ヶ月かかっていた作業が数時間で達成可能であると説明しています。

誰が影響を受けるのか

Wizは、根本的なフローはおよそ過去10年間にリリースされたすべてのPHPバージョンに存在すると述べています。2つのCVEの少なくとも1つはPHP 5.4以来存在しています。企業は、現在のリリースの3つの広く使用されているコンテンツ管理システムに対して、認証なしでリモートコード実行を確認したと述べています：WordPress、DrupalおよびJoomla。SecurityWeekはバグが共通のPHPデプロイメント方法に影響を与えると報告しています：PHP-FPM、Apacheとmod_php、php-cgi、FrankenPHPおよびLiteSpeed。

Wizは露出スケールをインターネットのおよそ70％に影響すると表現しています。これはPHPのいかなる形式で動作するウェブサイトのシェアへの参照です。企業のレポートによると。

開示以来の悪用の試み

複数のセキュリティ企業は開示周辺の攻撃トラフィックを監視しました。SecurityWeekは、watchTowrがパッチが着地した頃のワイルド環境での最初の悪用の試みを検出したと報告していますが、成功した妥協は確認していません。Hadrianはセキュリティ企業が、パッチがリリースされる前でも大規模な悪用の試みを観察したことをSecurityWeekに伝えました。PHPのセッションアップロード進行コードパスに集中していました。Patchstack、CloudflareおよびVegaは開示の日に試みをログしました。Amazonはパッチが配信される4日前に悪用の試みを特定したと述べました。

PHPのスケールがこれを重要にする理由

PHPはデンマーク系カナダ人プログラマーのRasmus Lerdorfによって作成され、1995年に最初にリリースされました。ウェブサイトを構築するための最も広く使用されるサーバー側スクリプト言語の1つのままです。Wikipediaによると。同じソースは、2025年11月の時点で、PHPで駆動されるウェブサイトの半分以上がまだサポートされていないPHP 7ブランチで実行されており、約9.7％がまだPHP 5で実行されていることに注意しています。これは数年前に廃止されました。セキュリティ研究者は、より広いPHPエコシステム全体の迅速なパッチを複雑にするレガシーソフトウェアパターンであると述べています。