PHP に php2shell の脆弱性
PHP に php2shell と呼ばれる致命的な脆弱性が見つかりました。
- php2shell (CVE-2026-109618 and CVE-2026-109619) – PHP critical vulnerability fixes available
- Security advisory: Critical remote code execution vulnerabilities, update now
リモートコードを実行可能
php2shell はあらゆる PHP アプリケーションで認証されていないリモートコードを実行可能な脆弱性です。攻撃対象の Web アプリケーションにネットワーク経由でアクセスできる攻撃者は、認証なしで任意のリモートコードを実行できます。
その際攻撃者は、そのシステム上で PHP アプリケーションに割り当てられている権限を利用して任意コードを実行できます。
さて php2shell には、以下の CVE が割り当てられています。
- CVE-2026-109618
- CVE-2026-109619
これらの脆弱性はいずれ CVSS 4.0 のスコアが 9.2 であり、深刻度は緊急（CRITICAL） に分類されています。
脆弱性の情報が漏洩した
本脆弱性は業界の標準的な手続きにより、責任を持って情報開示の手続きが行われていました。PHP Foundation は各ディストリビューターと連携し、脆弱性情報開示（CVD/Coordinated Vulnerability Disclosure）の手続きを進めていました。
この手続きにより本脆弱性は、2026年10月22日14:00（UTC）に一般公開が予定されていました。
しかし残念ながら本脆弱性の情報がそれよりも前に公に漏洩し、一般公開日が2026年10月21日14:00（UTC）に前倒しされることになりました。
セキュリティーアップデートを
すでに Ubuntu ではサポート中の Ubuntu に対し、本脆弱性に対応したセキュリティーアップデートをリリースしています。セキュリティーアップデートのリリース情報は、以下を参照してください。
アップデート後 PHP を利用しているソフトウェアは、アップデートを反映するために再起動が必要になります。
例えば Apache2 を利用している場合、以下のように Apache2 サービスを再起動する必要があります。
sudo systemctl restart apache2
もしくはマシンを再起動してください。
