2026年10月26日の更新：

CISAは、CVE-2026-109618およびCVE-2026-109619が、2026年10月26日にCISAの既知の脆弱性カタログ（KEVカタログ）に追加されたことを反映し、この注意喚起を更新しました。

2026年10月23日の更新：

CISAは、この注意喚起を以下の内容で更新しました。(1) 潜在的な不正な活動を特定するのに役立つSIGMA検出ルールを提供。(2) パートナーのリソースを組み込む。(3) 既存の対策に関するガイダンスを強化。

目的

CISAは、組織に対し、最近公開されたPHPの重大な脆弱性（CVE-2026-109618およびCVE-2026-109619）を直ちに修正することを強く推奨します。これらの脆弱性は「php2shell」として知られており、PHPにおいて認証なしでリモートコードを実行することを可能にします。これらの脆弱性は、Apache with mod_php（注：PHPはこれを最もリスクが高いと見なしています）、PHP-FPM、php-cgi、FrankenPHP、およびLiteSpeedを含む、Webリクエストを提供するすべてのPHP環境に影響を与えます。組織は、これらの脆弱性を修正するために、PHP 8.5.12、8.4.27、8.3.36、または8.2.35に直ちにアップデートする必要があります。CISAは、CVE-2026-109618およびCVE-2026-109619を、2026年10月26日にKEVカタログに追加しました。

実施すべき対策

CISAは、組織に対し、以下の対策を実施することを推奨します。

組織全体で、PHPのあらゆるバージョンを実行しているシステムを特定し、一覧を作成する。
PHPは、他のソフトウェアのコンポーネントとして組み込まれていることが多く、その存在が直接的に明らかにならない場合があります。
インターネットに接続しているシステムを優先し、直ちにパッチを適用する。
直ちにアップデートできない場合、またはPHP 8.1またはそれ以前のサポート対象外のバージョンを引き続き使用している場合は、PHPベースのシステムをオフラインにするまで、パッチが適用またはアップデートされるまでオフラインにする必要があります。
Webアプリケーションファイアウォールは、システムがアップデートまたはパッチ適用されるまでの間、ある程度の保護を提供できる可能性があります。
パッチの適用に関するガイダンスについては、公式のPHPセキュリティアドバイザリーを参照してください。
PHPのワーカープロセスがシェルを起動したり、ツールをダウンロードしたりするなどの不正な活動を監視する。

リソース

CISAは、ネットワークセキュリティ担当者に対し、以下のアドバイザリーおよびリソースを確認し、必要なアップデートを適用することを推奨します。

PHPのガイダンス

PHPのセキュリティに関する注意喚起：重大なリモートコード実行の脆弱性、今すぐアップデートしてください。

PHPのブログ：本日リリースされたPHPのセキュリティアップデート、およびPHPのセキュリティ強化について。

パートナー向け情報

米国国家安全保障局（NSA）からの注意喚起：PHPの脆弱性に対する、重要なセキュリティパッチの適用を推奨。

英国国家サイバーセキュリティセンター（NCSC-UK）からの注意喚起：PHPに影響を与える重大なセキュリティ問題。

オーストラリア情報局（ASD）のオーストラリアサイバーセキュリティセンター（ACSC）からの注意喚起：PHPにおける重大な脆弱性。

国家サイバーセキュリティセンター（NCSC-NL）のGitHubリポジトリ：php2shell

ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）からの情報：NCSCは、PHPの脆弱性に対する迅速なパッチ適用を推奨しています。

カナダサイバーセキュリティセンター（Cyber Centre）からの注意喚起：PHPに影響を与える重大な脆弱性 - CVE-2026-109618 および CVE-2026-109619。

組織は、関連するログソースにおいて潜在的に疑わしい活動を特定するのに役立つ、CISAのSIGMA検出ルールも確認できます（注：CISAはこの情報を更新する可能性があります）。

CISAのSIGMAルールGitHubリポジトリ。

免責事項

このレポートに含まれる情報は、情報提供のみを目的として「現状のまま」提供されています。CISAは、この文書に含まれるリンク先を含む、いかなる商業団体、製品、会社、またはサービスも推奨するものではありません。サービスマーク、商標、製造業者などによる特定の商業団体、製品、プロセス、またはサービスへの言及は、CISAによる推奨、推奨、または優遇を構成するものではありません。