2026年10月21日、PHPプロジェクトはHelp Net Securityおよびカナダサイバーセキュリティセンターによると、セキュリティ研究者およびベンダーが"PHP2Shell"というニックネームを付けた2つの重大なセキュリティ脆弱性を修正するための緊急更新（バージョン8.5.12、8.4.27、8.3.36、8.2.35）をリリースしました。CVE-2026-109618およびCVE-2026-109619として追跡されているこれらの脆弱性は、両方とも重大度の問題として説明されています。本記事で確認されたソースは公式の数値的CVSSスコアを引用していません。
脆弱性の動作
両方の脆弱性は、異常な条件下でのリクエスト処理におけるメモリ安全性のバグです。Bleeping ComputerおよびHelp Net Securityによると、CVE-2026-109618は、メモリ不足エラーがPHPを中断させ、内部リクエストデータの設定が部分的な場合に発生し、その後のクリーンアップルーチンがその不完全なデータを有効なものとして扱います。CVE-2026-109619は古い状態の脆弱性です。1つのリクエストに関連付けられたメモリは、適切にリセットされる前に同じワーカー上の後のリクエストによって解放され、再利用される可能性があり、これはデータの露出またはコード実行を可能にします。
カナダのサイバーセキュリティセンターは両方をUse-After-Free脆弱性（CWE-416）として分類し、成功した攻撃により認証されていない攻撃者がパスワードまたはユーザーからのアクションを必要とすることなく、サーバー上で任意のコードを実行できると述べています。同庁は、実証済みのエクスプロイトがアプリケーションコードが実行される機会を持つ前にバグをトリガーできるため、mod_phpのデプロイメントが最高のリスクに直面していると述べています。これはBleeping Computerによって報告されたとおり、PHPセキュリティチームによっても使用されている説明です。
このバグはPHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、およびLiteSpeedを含む、ウェブリクエストを処理するすべてのPHPインストールに影響します。Bleeping Computerおよびカナダのアドバイザリによると、基礎となるコードはPHP内に10年以上存在していましたが、公式な修正は8.2～8.5ブランチに対して発行され、サポート終了日を過ぎた7.4～8.1のソースレベルバックポートが利用可能にされました。
どのようにして発見されたか、そしてなぜAIが重要か
Fortuneによると、欠陥のあるコードはPHP内に10年以上存在していましたが、3つの独立した当事者が2026年8月にそれに収束しました：セキュリティ企業Wiz、Califという企業、およびOpenAIで、PHPファウンデーションとともに修正と調整された開示に取り組んでいました。WizはFortune誌に対し、OpenAIのGPT-5.6 SolおよびGoogleのGemini 4 Argonを含むAIモデルを使用して弱点を理解し、動作するエクスプロイトに変えるのを支援したと述べました。Wizは、脆弱なコードは10年以上存在していた一方で、変わったことはAIを使用して脆弱性を理解し、それを動作するエクスプロイトに変える研究者の能力であると述べ、これはAIによって駆動されたシフトを表していると述べました。
Fortuneはまた、OpenAIが独自の声明で、このエピソードはAIがインターネット規模の影響を伴うセキュリティ脆弱性を発見するのを支援できる方法を示していると述べたと報告しましたが、同じAI能力は攻撃者がより迅速に攻撃ツールとエクスプロイトを開発するのを支援することもできることを認めています。
悪用の試みとCloudflareの初期対応
Cloudflareはそのブログで、2026年10月21日協定世界時03:02にウェブアプリケーションファイアウォールルールをアクティブ化したと述べ、これは脆弱性が公開される約9時間前であると説明しました。ppc.landによって要約されたCloudflareの投稿によると、同社は無料階層顧客向けに7つの"ジェネリック ルール - 異常な実行"を展開し、有料プラン向けに同等の7つのルールを展開し、さらに同じトランザクション内でリクエストとレスポンスの両方をチェックする1つの追加ルールを展開しました。同じ投稿によると、Cloudflareは攻撃者が新しいルールを回避するために後にエクスプロイトペイロードを変更しているのを観察しましたが、正確な攻撃量の数値は公開しませんでした。
別途、AmazonのThreat Intelligenceチームは、Bleeping Computerによると、10月21日の公開パッチの4日前の2026年10月17日から始まる脆弱性に対する悪用の試みを検出したと述べ、一部の脅威行為者が一般的な開示の前にエクスプロイトの詳細にアクセスしていたことを示唆しています。対照的に、カナダのサイバーセキュリティセンターのアドバイザリーは、書かれた時点では積極的な悪用を特定していなかったと述べ、状況が急速に変わる可能性があると警告しています。2つの評価は、事実上の矛盾ではなく、異なる観察地点とタイミングを反映しています。
日本：政府がパッチまたはシャットダウンを促す
この脆弱性は日本で特に強い注目を集めました。2025年7月に再編成されたNISCの後継機関である日本国家サイバーセキュリティオフィスは、BigGo Financeの機関声明に関するレポートによると、ウェブサイト運営者に対しウェブサイトがPHPを実行しているかどうかを確認し、迅速に行動するよう促すアドバイザリーを発行しました。高市早苗首相はX上で"今夜皆さんの対応をお願いします"と投稿し、BigGo Financeが報告したように、直ちにパッチを適用できない場合、ウェブサイトを一時的に停止することがリスクを軽減する効果的な方法であると述べました。
このガイダンスに従い、複数の日本のオンラインサービスは2026年10月21日夜間に緊急メンテナンスに入りました。保育園管理プラットフォームのCoDMON、カードゲーム"Shadowverse: Worlds Beyond"、オンラインショップビルダーのBASE、およびホスティングプロバイダーのSakura Internetが含まれており、BigGo Financeのレポートによるものです。PHPの公式パッチは日本時間午後10時40分頃にリリースされ、最初に発表された午後11時の目標より前にリリースされました。同じレポートで述べられています。
別途、Internet Watch（Impress）が報告したところによると、日本の通信プロバイダーBaltecは、個人データの可能な露出を伴う不正アクセスを検出した後、クラウド、予約、販売時点情報管理、および経費管理ツールをカバーする約23のサービスを中止しました。Baltecは最初、インシデントをPHP脆弱性を対象とした攻撃に起因するとしていましたが、同社がPHP関連のセキュリティ対策を確認している間に2つの問題を混同していると述べた後、同じ日に修正を発行し、実際の原因はPHP脆弱性ではなく、独自のサービスの脆弱性であると述べました。BaltecはInternet Watchが報告したように、サービス復旧を2026年10月26日に予定しました。
暴露の規模
PHPは世界のウェブサイトの推定70%を支え、WordPressサイト、Wikipedia、Microsoft.com、および Archive.orgを含みます。Fortuneが報告したように、すべてのウェブサイトの約40%がWordPressで実行されており、WordPressはそれ自体PHPに依存しています。Fortuneはまた、インターネットに露出した潜在的に脆弱なPHPインスタンス2260万個を特定する初期スキャンを引用しました。
一目でわかるPHP2Shell| 項目 | 詳細 |
|---|
| CVE識別子 | CVE-2026-109618およびCVE-2026-109619 |
|---|
| 重大度 | すべてのレビューされたソースで重大度として説明されており、公式な数値的CVSSスコアはこれらのソースで見つかりませんでした |
|---|
| 脆弱性の種類 | Use-After-Free / メモリ破損（CWE-416） |
|---|
| パッチ適用バージョン | PHP 8.5.12、8.4.27、8.3.36、8.2.35（7.4～8.1のバックポート） |
|---|
| 開示/パッチ日 | 2026年10月21日 |
|---|
| 最初の報告された悪用の試み | 2026年10月17日（Amazon Threat Intelligenceによる、Bleeping Computerが引用） |
|---|
| PHPを実行しているウェブの共有 | 約70%、Fortuneによる |
|---|
まだ不明な点
利用可能なレポートの時点では、PHP2Shellエクスプロイトによって直接引き起こされた大規模な違反の成功例を、予防的なシャットダウンとは対照的に、ソースが確認していません。総悪用の試みに関する数値はソースおよび測定ウィンドウによって異なります：Cloudflareのチーフエグゼクティブオフィサーは日本のメディア（Yahoo! News経由）で、開示前の試みの数が数千から開示後45分以内に数万に上昇し、2時間以内に数十万に達し、そのレポートの時点では数百万に達したと述べられています。Cloudflareのブログ投稿はこれらの特定の数値を繰り返しませんでした。読者は正確な攻撃量の数値を暫定的なものとして扱い、それを追跡している組織による改訂の対象となるべきです。
