最近の脆弱性 › CVE-2026-109618
PHP のリモートコード実行の脆弱性（CVE-2026-109618・PHP2Shell）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
悪用は未確認（10/23時点） この脆弱性は、米国CISAの「悪用が確認された脆弱性の一覧（KEV）」には載っていません。実際の攻撃に使われたという報告はまだありませんが、深刻度が高く、特に注意が必要なため取り上げています。
基本情報（データから表示）
| CVE番号 | CVE-2026-109618 |
|---|---|
| 製品 | PHP |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 悪用の状況 | 悪用の報告はまだ確認されていません（CISA の KEV に未掲載。10/23時点） |
| NVD に登録された日 | 2026-10-21 |
| 弱点の種類（CWE） | CWE-1325, CWE-416, CWE-755, CWE-824 |
何が起きた
PHPに、離れた場所から特別な権限がなくても悪用できる弱点が見つかりました。PHPはメモリが足りなくなったときに処理を途中で打ち切りますが、その際にメモリが正しく準備されないまま使われてしまう場合があります。この状態を引き起こされると、サーバーの上で攻撃者が選んだプログラムを実行される（リモートコード実行）おそれがあります。発見者は、HTTP経由でプログラムを実行できることを確かめています。ただし、実際の攻撃に使われたという報告は、まだ確認されていません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
PHPで動いているウェブサイトやサービスを運営している人や組織が影響を受けます。影響を受けるのは、PHP 8.2.35、8.3.36、8.4.27、8.5.12より前のバージョンです。8.1以前の古い系列も影響を受けますが、修正版は出ていません。
何をすればいい
PHPを8.2.35、8.3.36、8.4.27、8.5.12以降に更新してください。8.1以前を使っている場合は、サポート中の系列へ移る必要があります。PHPの公式は、修正を含む版への更新が唯一の完全な対策だとしています。設定を変えて被害を減らす方法も案内されていますが、それだけでは完全ではありません。CVE-2026-109619の対策もあわせて行い、公式の案内も確認しましょう。
やることチェックリスト
- サーバーで動いているPHPのバージョンを確かめる
- 8.2.35、8.3.36、8.4.27、8.5.12以降に更新する
- CVE-2026-109619の対策もあわせて行う
用語メモ
- メモリ
- コンピュータが作業中のデータを一時的に置いておく場所です。
- リモートコード実行
- 離れた場所から、攻撃者が選んだプログラムを相手のコンピュータで動かすことです。
元データ（英語）
説明（NVD）
PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).