「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測

ウェブサイトをはじめ、広く活用されているプログラミング言語の「PHP」に、認証を必要とすることなくリモートからコードを実行できる深刻な脆弱性が見つかった問題で、すでに悪用を試みる攻撃も観測されている。実証コードも公開されており注意が必要だ。

PHPの開発チームが協定世界時2026年10月21日にアップデートをリリースし、2件の脆弱性「CVE-2026-109618」「CVE-2026-109619」に対処したもの。これらの脆弱性は別名「PHP2Shell」とも呼ばれており、影響の拡大を懸念する声が挙がっている。

開発チームは10月21日に「PHP 8.5.12」「同8.4.27」「同8.3.36」「同8.2.35」を公開し、脆弱性を修正。根本的な対策はアップデートのみとする一方、影響を低減する緩和策についても案内している。

アプリケーションの種類にかかわらず脆弱性の影響を受ける可能性があり、悪用されると情報の窃取や任意のコード実行につながるおそれがある。

Wizは、「WordPress」「Drupal」「Joomla」を利用した環境で、認証を必要とすることなくコードを実行できることを実証したと説明。サポートが終了しているバージョンも含め、「PHP 5.4」以降が影響を受けると指摘した。

（Security NEXT - 2026/10/22 ）ツイート