PHPの脆弱性「PHP2shell」について、IPAが対策済みバージョンへの更新を呼びかけ

IPA（情報処理推進機構）は2026年10月22日、PHPの脆弱性「PHP2shell」への対策を呼びかけ、11月2日にも内容を更新しました。PHPは、ホームページや業務システムを動かすために広く使われているプログラム言語です。この脆弱性は、メモリ不足のときのエラー処理（CVE-2026-109618）と、リクエストの処理（CVE-2026-109619）に関するもので、組み合わせて悪用されると、遠隔の第三者に、任意のプログラムを実行されるおそれがあります。

発表された内容

IPAとJPCERT/CC（日本の情報セキュリティの調整機関）の記載から確認できることは、次のとおりです。

• 対象のバージョン： PHP 8.2.35より前の8.2系、8.3.36より前の8.3系、8.4.27より前の8.4系、8.5.12より前の8.5系。
• 対策済みのバージョン： PHP 8.2.35、8.3.36、8.4.27、8.5.12。開発元のThe PHP Groupが公開しています。
• すでに悪用されたものとして掲載： 10月26日（現地時間）、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が、悪用された脆弱性の一覧に載せました。IPAは、国内での被害事例は把握していないとしています（10月27日更新）。
• 攻撃の動き： JPCERT/CCは、悪用を試みる通信の報告が相次いでいること、PHPを組み込んだ機器で侵害の痕跡が報告されていることを伝えています（10月29日更新）。
• PHPを使う機器にも関係： IPAは11月2日、PHPがVPN機器やセキュリティ製品の管理画面などにも使われていると追記し、各製品の開発元の情報を確認して更新するよう求めています。
• サポートが終わった古い版： PHP 8.1以前はサポート終了で、この脆弱性への修正版は提供されません。IPAは、サポートされているPHPへの更新や、対策済みの製品・サービスへの移行を求めています。

更新がすぐにできないときについて、IPAは、暫定的な対策やアクセス制限を考えること、更新・移行を続けられる人員・予算・保守体制を経営層も含めて検討すること、体制を確保できないなら公開の終了やシステムの廃止も含めて考えることを挙げています。

自社のホームページで確認すること

PHPは、WordPressをはじめ、多くのホームページや問い合わせフォームの仕組みに使われています。次の3点を確認します。

• PHPのバージョン： レンタルサーバーの管理画面や、制作会社・保守担当への問い合わせで分かります。「PHPは8.2.35・8.3.36・8.4.27・8.5.12以降ですか」と聞くのが早い方法です。
• 8.1以前の場合： 修正版が出ないため、サポートされるバージョンへの更新が必要です。古いままだと、ホームページ側のプログラムが新しい版で動かないことがあるので、更新の前に、制作会社や保守担当と動作確認の段取りを決めます。
• ホームページ以外の機器： VPN機器やファイアウォールなどを使っている会社は、メーカーの発表を確認し、更新が公開されていれば適用します。

保守を任せている会社があれば、まず「この脆弱性への対応は済んでいますか」と聞くところから始められます。

参考情報・出典

• IPA：PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)

  脆弱性の概要、影響を受けるバージョン、対策済みの版、CISAの悪用済みカタログへの掲載（10月27日更新）、VPN機器などPHPを使う製品の扱い（11月2日更新）、更新が難しい場合の考え方。

  参照確認日：2026-11-03

• JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（JPCERT-AT-2026-0033）

  悪用を試みる通信の報告、PHPを組み込んだ製品での侵害の痕跡（10月29日更新）、緩和策、侵害の調査点。

  参照確認日：2026-11-03