最近の脆弱性 › CVE-2026-109619
PHP のリモートコード実行の脆弱性（CVE-2026-109619・PHP2Shell）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
悪用は未確認（10/23時点） この脆弱性は、米国CISAの「悪用が確認された脆弱性の一覧（KEV）」には載っていません。実際の攻撃に使われたという報告はまだありませんが、深刻度が高く、特に注意が必要なため取り上げています。
基本情報（データから表示）
| CVE番号 | CVE-2026-109619 |
|---|---|
| 製品 | PHP |
| 深刻度（CVSS） | 8.1 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 悪用の状況 | 悪用の報告はまだ確認されていません（CISA の KEV に未掲載。10/23時点） |
| NVD に登録された日 | 2026-10-21 |
| 弱点の種類（CWE） | CWE-1325, CWE-416, CWE-755, CWE-824 |
何が起きた
PHPに、離れた場所から特別な権限がなくても悪用できる弱点が見つかりました。PHPはリクエスト（ウェブサイトへの要求）の処理が終わると、使ったメモリを片付けますが、一部の内部の状態が正しく元に戻らず、片付けたあとのメモリを指したままになる場合があります。その結果、解放済みのメモリが使われ（use-after-free）、メモリの中身が漏れたり、攻撃者が選んだプログラムを実行されたりするおそれがあります。ただし、実際の攻撃に使われたという報告は、まだ確認されていません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
PHPで動いているウェブサイトやサービスを運営している人や組織が影響を受けます。影響を受けるのは、PHP 8.2.35、8.3.36、8.4.27、8.5.12より前のバージョンです。8.1以前の古い系列も影響を受けますが、修正版は出ていません。
何をすればいい
PHPを8.2.35、8.3.36、8.4.27、8.5.12以降に更新してください。8.1以前を使っている場合は、サポート中の系列へ移る必要があります。PHPの公式は、更新が唯一の確実な対策で、設定だけで完全に防ぐ方法はないとしています。セッションのアップロード進捗の機能を使っていなければ、更新後もsession.upload_progress.enabled=0にして無効にするよう勧めています。CVE-2026-109618の対策もあわせて行い、公式の案内も確認しましょう。
やることチェックリスト
- 8.2.35、8.3.36、8.4.27、8.5.12以降に更新する
- 使わないならsession.upload_progress.enabledを0にする
- CVE-2026-109618の対策もあわせて行う
用語メモ
- use-after-free
- 解放した（使い終わった）メモリを、まだ使えるものとして使ってしまう不具合のことです。
- メモリ
- コンピュータが作業中のデータを一時的に置いておく場所です。
- リクエスト
- ブラウザなどがウェブサイトのサーバーに送る、ページやデータの要求のことです。
元データ（英語）
説明（NVD）
PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).