IPA、PHPの「PHP2shell」脆弱性で続報　CISAが悪用済みリストに追加

何が発表されたか

IPA は 2026年10月27日、PHP の脆弱性に関する注意喚起を更新した。対象は以下の2件で、組み合わせて「PHP2shell」と呼ばれている。

• CVE-2026-109618: メモリ不足（out-of-memory）エラーの処理に関する不備
• CVE-2026-109619: リクエスト処理に関する不備

これらを悪用されると、遠隔から任意のコードを実行される可能性がある。

10月27日の更新で追記されたのは、米 CISA が10月26日（現地時間）に両 CVE を「悪用が確認された脆弱性カタログ（KEV）」へ追加したという内容である。IPA は国内での攻撃事例は把握していないとしつつ、情報を確認して修正版へ移行するよう呼びかけている。

修正版は次の通り。

• PHP 8.2 系: 8.2.35
• PHP 8.3 系: 8.3.36
• PHP 8.4 系: 8.4.27
• PHP 8.5 系: 8.5.12

IPA は Wiz の報告も引用しており、それによると PHP 5.4 以降が少なくともいずれかの脆弱性の影響を受けるとされている。

取るべき対応

影響を受けるのは、Web アプリケーションや製品で PHP を動かしている組織・利用者だ。自分でサーバを運用している場合に限らず、利用している製品やサービスに PHP が含まれているケースもあるため、IPA は開発元やサービス提供者への確認を勧めている。

IPA が示している対応は次の順序になる。

1. 修正版への更新。PHP のセキュリティアドバイザリに従い、上記のバージョンへ上げる。KEV に追加された＝すでに悪用が確認された状態なので、ここは優先度が高い。
2. すぐに更新できない場合は回避策を確認する。アドバイザリ GHSA-w8hw-w9fx-j79w および GHSA-6wmf-4rv5-p3rp に示された暫定措置やアクセス制限を検討する。
3. 緩和策も難しい場合は、攻撃を受けた際の被害と事業影響を比べ、外部からのアクセス遮断やサービスの一時停止を判断する。
4. サポート状況の確認。PHP 8.1 以前はサポートが終了しており、今回の修正は提供されない。該当する場合は、アプリケーションの改修やテストの工数を含めて、更新・移行の難易度を見積もる必要がある。
5. 継続的な保守の体制確保。人員・予算・保守契約を確保できない場合は、移行や機能縮小、システムの廃止も選択肢として検討する。

受託で複数サイトを見ている場合は、まず PHP のバージョン一覧を洗い出し、8.1 以前が残っていないかを確認するところから着手したい。