本文へ移動

企業・公共機関向けの独立系サイバーセキュリティコンサルティング

MAXTSOGTサイバーセキュリティ

セキュリティ情報

PHP2Shell：PHPの緊急の脆弱性2件により、サーバー上でコードを実行されるおそれ

2026年10月21日、PHPプロジェクトは緊急度の高い2件の脆弱性を修正した修正版を緊急リリースしました。これらの脆弱性を悪用されると、インターネット上の攻撃者が認証なしでPHPのWebサーバー上のコードを実行できます。すでに攻撃の試みが報告されています。PHPを運用しているすべての組織は、本日中にバージョンを確認してください。

公開日 · 最終更新日

深刻度
緊急（CVSS 9.2）
識別子
CVE-2026-109618、CVE-2026-109619
修正済みバージョン
PHP 8.5.12、8.4.27、8.3.36、8.2.35
状況
修正版が公開されています。攻撃の試みが報告されています。

Webサイトを今すぐ確認

WebサイトのURLを入力してください。サーバーがすべての閲覧者に返すPHPのバージョン情報を読み取り、修正済みバージョンと比較します。

読み取るのは、どの閲覧者にも見えるレスポンスヘッダーのみです。脆弱性の有無を試す通信や攻撃通信は送信しません。入力されたURLも保存しません。

影響を受けるPHPのバージョン

以下の修正版より前のすべてのPHPバージョンが影響を受けます。脆弱性はPHP 5.4までさかのぼって存在します。

PHPブランチ影響を受けるバージョン修正済みバージョンセキュリティサポート終了日
8.58.5.12より前8.5.122029年12月31日
8.48.4.27より前8.4.272028年12月31日
8.38.3.36より前8.3.362027年12月31日
8.28.2.35より前8.2.352026年12月31日
8.1以前すべてのバージョン修正なし終了

PHP 8.2のセキュリティ修正の提供は、2026年12月31日に終了します。8.2のサーバーを今回更新する場合は、8.4または8.5への移行もあわせて計画してください。

リスクのあるサーバー構成

リスクの大きさは、サーバー上でのPHPの動作方式によって異なります。

Apache（mod_php）
リスク：最も高いコード実行に至る攻撃が確認されています。攻撃は、自組織のアプリケーションコードが実行される前の段階で成立します。
PHP-FPM（nginx、FPMを使用するApache）
リスク：あり各セキュリティ情報では、一定の条件下で影響を受けると評価されています。影響を受けるものとして対応してください。
LiteSpeed（LSAPI）
リスク：ある可能性が高い確認はされていませんが、影響を受ける可能性が高いと考えられます。影響を受けるものとして対応してください。
FrankenPHP
リスク：ある可能性あり2件の脆弱性のうち1件の影響を受ける可能性があります。念のため更新してください。

サーバーの確認方法

各サーバーで以下のコマンドを実行してください。またはホスティング事業者にお問い合わせください。

  1. 1. PHPのバージョンを表示する

    php -v

  2. 2. WebサーバーでのPHPの動作方式を表示する

    php -i | grep "Server API"

  3. 3. コマンドラインだけでなく、WebサーバーのPHPバージョンも確認する（次のコードを記述したページを作成し、一度だけ表示してから削除してください）

    <?php echo PHP_VERSION; ?>

コマンドラインのPHPとWebサーバーのPHPは、バージョンが異なる場合があります。必ず両方を確認してください。

対策方法

  1. PHPを8.5.12、8.4.27、8.3.36、8.2.35、またはそれ以降のバージョンに更新してください。
  2. Apache、PHP-FPM、LiteSpeed、すべてのコンテナーを含め、PHPのプロセスをすべて再起動してください。再起動していないサーバーでは、古いコードが動作し続けます。
  3. 共用ホスティングやcPanelを利用している場合は、MultiPHP Managerで修正済みバージョンを選択するか、ホスティング事業者に更新状況を確認してください。
  4. Dockerを利用している場合は、更新されたphpベースイメージからイメージを再ビルドし、再デプロイしてください。
  5. PHP 8.1以前を使用している場合は、PHP 8.4または8.5に移行してください。古いバージョン向けの修正は提供されていません。

すぐに更新できない場合の緩和策

以下の設定により、更新までの間のリスクを低減できます。ただし、脆弱性を完全に解消するものではありません。

アップロード進捗の追跡を無効にする

session.upload_progress.enabled = 0

公開された攻撃手法の経路を遮断します。PHPプロジェクトは、この機能が不要であれば、更新後も無効のままにすることを推奨しています。

PHP 8.5のみ：致命的エラー時のバックトレースを無効にする

fatal_error_backtraces = 0

脆弱性を悪用する確認済みの手法の1つを防ぎます。

フロントエンドで大きなアップロードや不審なアップロードを遮断する

post_max_size, max_input_nesting_level

リクエストサイズの上限を低く設定してください。ファイルのアップロードを受け付けないWebサイトでは、プロキシまたはファイアウォールでmultipartリクエストを遮断してください。

設定を変更した後は、すべてのPHPワーカーを再起動してください。

参考情報

ご不明な点はありませんか

サーバーが安全かどうか判断できない場合は、お気軽にご質問ください。2営業日以内に、分かりやすい言葉でご返信します。

セキュリティについて質問する