PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)
公開日：2026年10月22日
注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。
2026年10月21日にIPAから公表した「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（脚注1）の続報です。
セキュリティリリースが公表されましたので、対策の実施をご検討ください。
概要
The PHP Groupが提供するPHPについて、メモリ不足(OOM)のエラー処理に起因する脆弱性（CVE-2026-109618）とリクエスト処理に関連する脆弱性（CVE-2026-109619）が報告されています。
これらの脆弱性を悪用された場合、遠隔の第三者によって、任意のコード実行が実行される可能性があります。
これらの脆弱性の組み合わせは「PHP2Shell」と呼ばれています。
PHPは、様々なウェブアプリケーションやソフトウェア製品で利用されています。自組織で開発・利用している製品等の影響については、その製品等の開発者やサービス提供元からの情報をご確認ください。
影響を受けるシステム
- PHP 8.2.35より前の8.2系バージョン
- PHP 8.3.36より前の8.3系バージョン
- PHP 8.4.27より前の8.4系バージョン
- PHP 8.5.12より前の8.5系バージョン
なお、これらの脆弱性の調査に関与したWiz社によれば、PHP 5.4以降のバージョンは、これらの脆弱性のいずれかの影響を少なくとも受けるとのことです（脚注2）。
対策
1.脆弱性の解消 - 修正プログラムの適用
開発者が提供する情報をもとに、最新版へアップデートしてください。開発者は、本脆弱性を修正した次のバージョンをリリースしています。
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
詳しくは以下のページをご確認ください。
2.推奨対応
公表された脆弱性対策情報（アドバイザリ）において、脆弱性の影響を受けやすい構成例や緩和的な対処方法などについて案内されています。
セキュリティリリースの対応が困難である場合には、これらの情報を踏まえつつ、対応方法について検討を実施してください。
修正対応が難しい場合について
- 1.利用中のPHPのサポート状況を確認する
-
PHP 8.1以前のバージョンは「End of life（サポート終了）」を迎えています。今回の脆弱性に対する修正プログラムが提供されないバージョンを利用している場合は、サポートが提供されているPHPへの更新や、対策済みの製品・サービスへの移行を検討してください。
- 2.更新・移行までの暫定対策を講じる
-
更新や移行が完了するまで、脆弱な状態での運用を放置せず、利用環境に応じた暫定対策やアクセス制限を検討してください。有効な暫定対策を講じることが難しい場合は、攻撃を受けた際の被害や業務への影響を踏まえ、外部からのアクセス遮断やサービスの一時停止が必要か判断してください。
- 3.システムの状況と更新・移行の難易度を把握する
-
PHPを利用したウェブサイト等のシステムが現在も果たしている役割や利用状況、他のシステム・サービスで代替できる可能性を確認し、運用を継続する必要性や提供方法を見直してください。
PHPなどを長期間更新していないシステムでは、更新に伴うアプリケーションの改修や動作確認が必要となるほか、開発時の資料・ノウハウの不足、担当者の不在、保守契約の終了などにより、対策が難しくなっている場合があります。
- 4.組織として対応の実現性を検討する
-
システム管理担当者だけでなく、事業責任者や経営層も含め、更新・移行の実施と、その後の継続的な維持管理に必要な人員・予算・保守体制を確保できるか検討してください。
- 5.今後の対応方針を決める
-
対応後の維持管理体制を確保できる見通しがある場合は、更新や対策済みの製品・サービスへの移行を進めてください。
体制を確保する見通しが立たない場合は、現行システムの継続を前提とせず、保守を受けられる製品・サービスへの移行、提供機能の縮小、公開の終了やシステムの廃止も含めて検討してください。 - 6.利用者や業務への影響を考慮して実施する
-
更新・移行や廃止にあたっては、利用者や業務への影響を考慮し、必要なデータの移行・保存や、代替手段の案内などを計画してください。
脚注
-
脚注1
-
脚注2
お問い合わせ先
IPA セキュリティセンター
-
E-mail
注釈：個別のシステムおよび環境に関するご質問を頂いても回答ができない場合があります。詳しくは製品ベンダなどにお問合せください。
更新履歴
-
2026年10月22日
掲載