PHP2Shellのパッチがリリース、複数ベンダーが悪用試行を観測する中（CVE-2026-109618、CVE-2026-109619）

佐々山 Tacos

2026.10.22

[開く][閉じる]

PHP2Shellのパッチがリリース、複数ベンダーが悪用試行を観測する中（CVE-2026-109618、CVE-2026-109619）

PHP2Shellのパッチがリリース、複数ベンダーが悪用試行を観測する中（CVE-2026-109618、CVE-2026-109619）

SecurityWeek – October 21, 2026

PHPは日本時間10月21日22:30、認証不要でリモートコード実行を可能にし得る重大な脆弱性CVE-2026-109618およびCVE-2026-109619の修正パッチをリリース。「PHP2Shell」と名付けられたこれらの脆弱性について、パッチリリース前の段階で悪用試行が観測されたことを複数のサイバーセキュリティ企業が伝えている。

PHP2Shellは、以下2件のRCE脆弱性の俗称。公式の開示予定日よりも前に情報がリークされたことで、PHPのセキュリティチームが10月20日にパッチ公開予定をアナウンスするとともに事前警告を発する事態となっていた。

CVE-2026-109618：OOM破損（境界外書き込みによるメモリ破損）によるリモートコード実行の脆弱性。CVSS v4.0スコアは9.2。
CVE-2026-109619：古いグローバル状態によるリモートコード実行の脆弱性。CVSS v4.0スコアは9.2。

関連記事：PHPが重大な脆弱性2件について警告　緊急パッチは21日夜にリリース予定

5.4以降のほぼすべてのPHPリリースがこれらの脆弱性の影響を受ける。パッチは、PHPバージョン8.5.12、8.4.27、8.3.36、8.2.35に含まれており、PHPは全ユーザーに対し、早急なアップデートを「強く推奨」した。また、サポートが終了しているPHP 7.4、PHP 8.0、およびPHP 8.1に関しても、最小限のソースコードバックポートがリリースされている。

しかし、修正版が公開されるよりも前に、すでにPHP2ShellのPoCエクスプロイトが出回り始めていたという。また、いくつかのセキュリティベンダーから、悪用試行が観測された旨が伝えられている。

Hadrianは、パッチリリースの数時間前にあたる20:35（日本時間）に、大規模な悪用が観測されていることを報告。観測された攻撃の大半は「PHPのセッションのアップロードの進捗（session upload-progress）に関するパスを悪用するもの」だとした上で、修正版リリースの前後にさらに多くのエクスプロイト経路が現れるだろうとの見通しを示した。同社によればパッチリリース後の21日23:35時点においても、引き続き大規模な悪用が発生していると述べている。
WatchTowrは、パッチリリースとほぼ同時期に同社のセンサーで最初の悪用試行が観測されたものの、成功事例は観測されていないと報告した。同社の脅威インテリジェンスヘッドであるJake Knott氏は、現段階では誰も悪用に成功していないとしつつも、その状況も長くは続かないだろうとの考えを示している。
Patchstackは、10月21日16:34（日本時間）に複数のホスティングパートナーから悪用事例数件が報告されたと伝えている。
CloudflareのCTOは10月21日16:43（日本時間）、早期の攻撃を観測し始めているとツイートした。
Vegaは、10月22日0:01（日本時間）、すでに出回っている公開PoCを使った悪用試行が観測されているとツイート。この試行には、64.95.12[.]7からのものが含まれると伝えた。

PHPのメンテナによると、「PHP-FPM、mod_phpを使用するApache、php-cgi、FrankenPHP、LiteSpeed」を含め、Webリクエストを処理するすべてのPHPインストール環境が、悪用されるリスクにさらされている可能性があるとされる。

PHP2Shellは、Calif、OpenAI、Wizによって2026年8月に発見されていた。Califによれば、この発見の元となったのは、2020年に初期のOOM欠陥が発見されたこと。この脆弱性は2024年の監査で再発見されたものの、悪用可能性が証明されなかったために修正も行われなかったという。しかし2026年、フロンティアAIモデルの助けを得て、このOOMの脆弱性をより詳細に分析し、最終的にはRCEへと発展させることができたとされる。

CalifとWizは、それぞれPHP2Shellに関する技術的詳細を記したブログ記事を公開している。