ウェブ開発で広く使われるプログラミング言語PHPの中核に、認証不要で遠隔からコードを実行できる重大な脆弱性が2件見つかりました。開発チームは10月21日、緊急の修正版を公開しました。「PHP2Shell」と呼ばれるこの欠陥は公開前に情報が漏れ、すでに攻撃の兆候も確認されています。
「PHP2Shell」とは何か
今回見つかったのは、CVE-2026-109618とCVE-2026-109619という2つの脆弱性で、まとめて「PHP2Shell」と呼ばれています。いずれもPHPがウェブからのリクエストを異常終了した際にメモリが壊れた状態になることに起因し、認証なしで遠隔からコードを実行（RCE）される恐れがあります。攻撃が成功すると、ウェブサーバーの権限で任意のプログラムを動かされ、サーバーを乗っ取られる危険があります。PHPはウェブサイトの実に多くで使われており、影響範囲は極めて広いとされます。
5100万台超が影響範囲
セキュリティ企業によると、インターネット上に公開されているPHPサーバーは510万台を超えるとされ、その多くが攻撃にさらされる可能性があります。影響を受けるのは、PHP-FPMやApacheのmod_php、LiteSpeedなど、ウェブリクエストを処理するほぼすべての構成です。開発チームは特にmod_php構成で危険性が高いと警告しています。今回の欠陥は、セキュリティ企業Calif、Wiz、そしてオープンAIの研究者らによって発見・報告されました。
情報漏れで前倒し公開、すでに攻撃も
本来は各社が足並みをそろえて公表する予定でしたが、10月20日に匿名の投稿で情報が漏れ、公開が前倒しされました。米クラウドフレアのデーン・ネクトCTOは、同社がすでに2つの脆弱性を狙う初期の攻撃を観測していると明らかにしています。英国の国家サイバーセキュリティセンター（NCSC）も、組織に対し直ちに更新するか、該当システムを停止するよう呼びかけました。利用者は、PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかへ速やかに更新することが強く推奨されています。
日本への影響
PHPは日本国内でも企業サイトやECサイト、公共機関のシステムで広く使われており、今回の脆弱性は日本の多くの組織にとって他人事ではありません。WordPressをはじめ、PHPで動くウェブサイトは国内に無数に存在し、更新を怠れば顧客情報の流出やサイト改ざん、サーバーの乗っ取りといった深刻な被害につながりかねません。とりわけ、サポートが終了した古いバージョン（PHP 7系や8.1以前）を使い続けているサイトは、公式の修正が提供されないため危険度が高く、早急な移行やベンダーへの確認が求められます。すでに攻撃が始まっているとの報告もあり、日本の企業や個人サイトの運営者は、週末や連休を待たず直ちに更新状況を点検することが重要です。自社でサーバーを管理している読者はもちろん、レンタルサーバーや制作会社に委託している場合でも、更新が適用されているかを確認する姿勢が被害を防ぐ鍵となります。
まとめ：まずは落ち着いて、自分のサイトが最新のPHPに更新されているかを確認しましょう。早めの一手が、大きな被害を未然に防ぎます。
出典：
https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://www.php.net/archive/2026.php#2026-10-21-5
Photo: Mahesh Ranaweera / Unsplash
