米国の政府機関CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）が、PHPにある重大な脆弱性2件について、直ちに修正版を適用するよう勧告しました。

即時更新が難しい場合は、修正が完了するまでPHPベースのシステムをオフラインにするよう求めています。

何が起きたのか

CISAは現地時間2026年10月21日、PHPの脆弱性「CVE-2026-109618」「CVE-2026-109619」について注意喚起を公表しました。これらは「php2shell」とも呼ばれ、ウェブからのリクエストを処理するPHP環境に影響する可能性があります。

悪用されると、認証なしでリモートから任意のコードを実行されるおそれがあります。深刻度は両方ともCVSS 9.2です。CISAは公表時点では悪用を観測していないとしていましたが、その後、10月26日に2件を悪用が確認された脆弱性の一覧（KEV）に追加し、米連邦政府機関に10月29日までの対応を求めました。

PHP開発チームは修正版として「PHP 8.5.12」「PHP 8.4.27」「PHP 8.3.36」「PHP 8.2.35」を公開しました。

影響と注意点

PHPは多くのウェブサイトやウェブアプリケーションで利用されており、影響を受ける環境ではサーバー上での任意コード実行や、システム内情報への不正アクセスにつながる可能性があります。

特に、インターネットから到達できるPHP環境や、サポート対象外のPHP 8.1以前を使い続けている環境は、優先的な確認と対応が必要です。Linuxディストリビューションや長期サポート製品を使う場合は、各ベンダー提供の修正版パッケージを適用する必要があります。

なお、ウェブアプリケーションファイアウォール（WAF：Web通信を監視し攻撃を遮断する仕組み）は一定の保護を提供する可能性があるものの、パッチ適用の代替にはならないとされています。

コンサルタントのひとこと

まずは社内・委託先を含めて、PHPを使っているサーバーや業務システムを棚卸しし、バージョンと外部公開の有無を確認してください。

インターネット接続のあるシステムを優先して、修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）またはベンダー提供パッケージへ更新します。更新が間に合わない場合は、外部から到達できない状態にするなど、オフライン化を検討してください。

参照: 米CISA、PHPの重大脆弱性2件について即時パッチ適用を勧告、困難ならオフライン化（サイバーセキュリティ総研）