PHPのRCE脆弱性「PHP2Shell」2件に修正パッチ、セキュリティチームが更新を推奨

PHPのRCE脆弱性「PHP2Shell」に修正パッチ、複数のバージョンで更新を推奨

PHPセキュリティチームは、リモートコード実行（RCE）につながる可能性がある2件の脆弱性に対応するため、セキュリティ修正を公開したとされている。原文では、これらの脆弱性は「CVE-2026-109618」と「CVE-2026-109619」として識別され、「PHP2Shell」と呼ばれている。PHPによるWebリクエストの処理に関係する問題とされ、特にApacheとmod_phpを組み合わせた環境での影響が指摘されている。ただし、実際に影響を受けるバージョンやサーバー構成については、公式の脆弱性情報との照合が必要となる。

PHP2Shellと呼ばれる2件の脆弱性は、Webリクエストの処理が異常終了した際のメモリ管理に関係すると説明されている。異常終了時に内部状態が適切に処理されない場合、メモリ破損などが発生し、攻撃者による不正な操作につながる可能性がある。原文によると、CVE-2026-109618はメモリ管理上の不具合を通じてWebサーバーのワーカープロセス権限でコードを実行できるおそれがある。一方、CVE-2026-109619は、グローバル状態の終了処理に関連する問題によって、解放済みメモリの使用（Use-After-Free）やメモリ内の情報への不正アクセスが発生し、同様にコード実行につながる可能性があるという。いずれも、攻撃が成立する条件や具体的な影響については確認が必要となる。

原文では、修正を含むバージョンとしてPHP 8.5.12、8.4.27、8.3.36、8.2.35が挙げられており、PHP 7.xなどの旧バージョンを使用している環境についても、セキュリティ更新を含むサポート対象バージョンへの移行が推奨されている。また、一部のディストリビューションや長期サポートを提供するベンダーでは、PHP 7.4、8.0、8.1向けに修正をバックポートする場合があるとされる。こうした環境では、上流のPHPバージョン番号だけでなく、利用しているOSやパッケージ提供元のセキュリティ情報を確認する必要がある。なお、記載された修正バージョンについては、正式なリリース情報との照合が必要である。

パッチの公開に先立ち、CloudflareはPHP2Shellの既知の攻撃手法を検知・遮断するため、Webアプリケーションファイアウォール（WAF）のルールを提供したとされている。ただし、WAFによる遮断は特定の攻撃パターンへの対策であり、PHP本体の脆弱性を修正するものではない。このため、WAFを利用している環境でも、該当するPHPのセキュリティ更新を適用する必要がある。また、原文では複数のセキュリティ企業が脆弱性の悪用を試みる活動の増加を報告しているが、実際の攻撃状況については各社の調査結果を確認する必要がある。

PHPの管理者が直ちにパッチを適用できない場合には、公開されている攻撃経路へのアクセス制限やWAFの設定などによって、一部のリスクを低減できる可能性がある。ただし、これらは恒久的な修正の代替にはならない。PHPはWordPress、Drupal、MediaWikiなどのコンテンツ管理システム（CMS）をはじめ、多くのWebサービスで利用されているため、言語処理系そのものに問題が存在する場合、アプリケーション側で適切なセキュリティ対策を実施していても影響を受ける可能性がある。

さらに、原文ではPHP 5.4までさかのぼって影響が及ぶ可能性が指摘されている。攻撃条件によっては、プロセスのメモリ内に存在する認証情報やAPIキーなどの機密情報が読み取られるおそれもあるという。ただし、こうした影響がすべてのバージョンや構成で発生するかどうかは、個別の検証結果に基づいて判断する必要がある。PHPを運用する組織では、使用中のバージョンとサポート状況を把握し、公式に案内された修正プログラムの適用状況を確認することが対応の中心となる。