PHPに「致命的（Critical）」とされる脆弱性が2件見つかり、修正版が日本時間10月21日（水）23時に公開される予定です。修正前に情報がネット上に流出し、研究者の間で「php2shell」と呼ばれて話題になっています。
何が危ないのか、自分のサイトは対象なのか、今夜までに何をしておけばいいのかを、図解と「PHPバージョン判定ツール」で整理しました。
- PHPの脆弱性2件（CVE-2026-109618／109619と報じられている）は深刻度CVSS v4.0で9.2。遠隔からコードを実行される恐れ
- 修正版は10月21日23時（日本時間）公開予定。修正が出るのはPHP 8.2〜8.5のみで、8.1以前はサポート終了
- 今夜までに「PHPを使っている場所の洗い出し」と「更新手順の準備」を。暫定策として設定変更が提案されているが効果は未確定
php2shellとは？何が起きているのか
「php2shell」は、PHPの開発チームが修正を予告した重大な脆弱性2件を指す通称です。PHP公式が付けた名前ではなく、発見に関わったとみられる研究者の投稿などから広まりました。
PHPのセキュリティチームは10月20日（UTC）に「重大な修正2件を含むリリースを行う」と予告し、公開日時を10月21日14時（UTC）＝日本時間23時としました。詳細が先に公開されたり、悪用が確認されたりした場合は前倒しする可能性があるとしています。
報道によると、修正前の脆弱性情報が掲示板などに流出したことが、今回の異例の事前告知につながりました。流出した投稿では深刻度が「10.0」とされていましたが、PHP側の評価はCVSS v4.0で9.2です。いずれにせよ最高クラスに近い深刻度です。
| 項目 | 内容（10月21日夕方時点） |
|---|---|
| 通称 | php2shell（研究者による呼び名） |
| CVE番号 | CVE-2026-109618、CVE-2026-109619（セキュリティ企業や報道による） |
| 深刻度 | CVSS v4.0 で各9.2（Critical） |
| 影響 | 遠隔からの任意コード実行（RCE）の恐れ |
| 修正版の公開 | 2026年10月21日 23:00（日本時間）予定 |
| 修正対象 | PHP 8.2／8.3／8.4／8.5 |
| 影響バージョンの範囲 | 公式には未発表（リリース時に公表予定） |
| 悪用の確認 | 10月21日時点で、複数のセキュリティ企業が「悪用は確認していない」としている |
どこが危ない？攻撃の流れを図解
GMO Flatt Securityの分析では、PHPのセッション拡張にある「Session Upload Progress」という機能が関係している可能性が指摘されています。この機能は初期設定で有効になっているため、特別な設定をしていないサーバーも対象になり得ます。ただし同社自身も「確定ではない」としています。
報道では、研究者の動画で Apacheのmod_php の環境が示されたほか、PHP-FPM や WordPress・Laravel・Symfony などでも再現したとされています。つまり「特定の珍しい構成だけの問題」ではない可能性が高いということです。
自分のサイトは対象？PHPバージョン判定ツール
使っているPHPのバージョンを入れると、修正版が提供される系列かどうかと、今夜やっておきたいことを表示します。バージョンはサーバーの管理画面、WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。
PHPの系列ごとのサポート状況
今回の修正版が出るのは、PHP公式がまだサポートしている4つの系列だけです。古い系列を使い続けているサイトは、公式の修正を受けられません。
| 系列 | 状態 | 今回の修正版 |
|---|---|---|
| PHP 8.5 | アクティブサポート | 提供予定 |
| PHP 8.4 | アクティブサポート | 提供予定 |
| PHP 8.3 | セキュリティ修正のみ | 提供予定 |
| PHP 8.2 | セキュリティ修正のみ | 提供予定 |
| PHP 8.1以前（8.0・7.x・5.x） | サポート終了 | なし |
なお、LinuxディストリビューションやRHEL系の長期サポート版では、古い番号のPHPに修正だけを取り込む「バックポート」が行われることがあります。その場合はディストリビューション側の告知を確認しましょう。セキュリティ調査会社の集計では、10月20日時点でPHP 8.1以前を名乗るインターネット公開サーバーが約88万台あったとされます（バナー表示に基づく数で、すべてが脆弱とは限りません）。
修正版が出るまでにやること・出た後にやること
今夜23時まで
- PHPが動いている場所の洗い出し：本番サイトだけでなく、テスト環境、管理パネル、社内ツールなども
- 更新手順の確認：パッケージの更新方法、再起動の影響、更新後のテスト方法を決めておく
- 関係者への連絡：一時停止が必要になった場合の連絡体制を整える
- 権限とデータの最小化：サーバーに置く機密データやクラウドの権限を必要最小限に
- ログの確認：アクセスログが記録・保存されているかを確認
暫定策として、GMO Flatt Securityは php.ini で session.upload_progress.enabled=0（Session Upload Progressの無効化）を挙げています。ただし同社は「完全な緩和策になる保証はない」としており、PHP公式は回避策を公表していません。欧州のCERT-EUは、修正まで「インターネットに公開しているアプリの切り離しを検討する」よう呼びかけています。
23時の公開後
- PHP公式で修正版の番号と影響範囲を確認
- インターネットに公開しているサーバーから優先して更新
- レンタルサーバーやマネージドサービスは、運営会社の対応状況を確認
- 更新後、PHPのプロセスから不審なコマンドが起動していないか、公開フォルダに見覚えのないファイルがないかを確認
WordPressのブログは大丈夫？
WordPressはPHPで動いているため、影響を受ける可能性があります。ただし、今回の問題はWordPressやプラグインではなくPHP本体の脆弱性です。WordPressの管理画面で「更新」ボタンを押しても直りません。
| 運用方法 | PHPを更新する人 | あなたがやること |
|---|---|---|
| レンタルサーバー（共用） | サーバー会社 | お知らせを確認。PHPの系列を選べる場合は8.2以降に |
| VPS・クラウド | あなた自身 | 23時以降に修正版へ更新 |
| WordPress.comなどのSaaS | 運営会社 | 基本的に不要。告知を確認 |
WordPressなどを自分で運用していると、今回のような緊急アップデートのたびに対応が必要になります。PHPのバージョンを管理画面から切り替えられるレンタルサーバーを使うと、更新作業の負担を減らせます。
よくある質問
php2shellの修正版はいつ公開されますか？
PHPの予告では、日本時間2026年10月21日（水）23時（UTC 14時）です。詳細が先に出回ったり悪用が確認されたりした場合は、前倒しの可能性があるとしています。
どのバージョンが影響を受けますか？
PHP公式は、影響するバージョンと修正版の番号をリリース時に公表するとしています。流出した投稿では「PHP 5以降」とされていますが、公式には確認されていません。修正版が提供されるのは8.2〜8.5の4系列です。
すでに悪用されていますか？
10月21日時点では、複数のセキュリティ企業が「悪用は確認していない」としています。ただし情報が流出しているため、修正版の公開後は攻撃が始まる前提で早めに更新するのが安全です。
個人のブログでも何かする必要がありますか？
レンタルサーバーなら、多くの場合サーバー会社がPHPを更新します。契約先のお知らせを確認し、管理画面でPHPの系列を選べる場合はサポート中の8.2以降を選んでおきましょう。
session.upload_progress.enabled=0 にすれば安全ですか？
GMO Flatt Securityが暫定策の一つとして挙げていますが、同社自身が「完全な緩和策になる保証はない」としています。あくまで修正版を当てるまでのつなぎと考えてください。
