※本記事は一次情報をもとにAI支援によって構成・作成し、事実関係の照合を行っています。
発表内容（事実）
独立行政法人情報処理推進機構（IPA）は2026年10月22日、The PHP Groupが提供するPHPの脆弱性について対策情報を公表しました。前日の事前準備に関する公表に続く続報として、セキュリティリリースの公開に伴う対応の検討を呼びかけています。
報告されている脆弱性は、メモリ不足（OOM）のエラー処理に起因する脆弱性（CVE-2026-109618）と、リクエスト処理に関連する脆弱性（CVE-2026-109619）の2点です。これらの脆弱性を悪用された場合、遠隔の第三者によって任意のコード実行が行われる可能性があります。なお、これら脆弱性の組み合わせは「PHP2shell」と呼ばれています。
影響を受けるシステムとして、以下のバージョン未満の各系が挙げられています。
- PHP 8.2.35より前の8.2系バージョン
- PHP 8.3.36より前の8.3系バージョン
- PHP 8.4.27より前の8.4系バージョン
- PHP 8.5.12より前の8.5系バージョン
また、脆弱性の調査に関与したWiz社によると、PHP 5.4以降のバージョンはこれらの脆弱性のいずれかの影響を少なくとも受けるとのことです。
この記事のポイント
- PHPにメモリ不足のエラー処理およびリクエスト処理に起因する2つの脆弱性（CVE-2026-109618、CVE-2026-109619）が確認され、「PHP2shell」と呼ばれています。
- 悪用された場合、遠隔の第三者によって任意のコードが実行されるおそれがあります。
- 開発者は修正版としてPHP 8.2.35、8.3.36、8.4.27、8.5.12をリリースしており、最新版へのアップデートが推奨されています。
- PHP 8.1以前のバージョンはサポート終了（End of life）を迎えており、修正プログラムが提供されないため、サポート内バージョンへの更新や移行の検討が必要です。
考察（筆者の見解）
事実: PHP 5.4以降の幅広いバージョンが影響を受ける可能性が指摘されており、多くのウェブアプリケーションやソフトウェア製品が稼働するインフラストラクチャにとって深刻な問題となっています。すでに修正プログラムとしてPHP 8.2.35、8.3.36、8.4.27、8.5.12が公開されています。
推測: サポートが終了しているPHP 8.1以前を利用しているシステムや、長期間更新を行っていないシステムでは、アプリケーションの改修や動作確認が必要となるため、迅速な修正プログラムの適用や移行作業が難航する可能性があります。そのため、暫定的なアクセス制限や、場合によっては外部アクセスの遮断といった緊急対応を迫られるシステムが続出すると考えられます。
意見: 筆者は、システム管理担当者だけでなく経営層や事業責任者も含めた体制で、今後の維持管理を含めた移行計画やシステムの廃止判断を早急に行うべきだと考えます。
コメント