JPCERT-AT-2026-0033
JPCERT/CC
2026-10-22（公開）
2026-10-29（更新）

I. 概要

The PHP Groupは、2026年10月21日にPHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表しました。本脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される可能性があります。

The PHP Group
Security advisory: Critical remote code execution vulnerabilities, update now
https://www.php.net/archive/2026.php#2026-10-21-5

JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報などを参考に、速やかに対策の適用および侵害有無の調査を実施してください。

本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます。一方、実証コードを用いて実際に任意のコードを実行できるかどうかは、PHPのバージョンや実行環境、メモリ配置などの条件に依存し、環境に応じた調整が必要となります。今後も実証コードや新たな攻撃手法の公開、特定の環境を標的とした攻撃の開発が進む可能性があるため、関連情報に注視の上、修正済みバージョンへの更新および侵害有無の調査を実施することを推奨します。

また、The PHP Groupは、2026年10月23日に特定の設定とアプリケーションコードの組み合わせの下で発生する脆弱性（CVE-2026-115560）を公表しました。本脆弱性が悪用された場合、任意のコードを実行される可能性があります。ただし、開発者は、影響を受ける構成が一般的ではないことから、通常のリリースサイクルで修正する方針を示しており、修正済みバージョンが提供されるまで「IV. 緩和策」に示す設定への変更を推奨しています。

The PHP Group
Informational advisory: Session upload progress
https://www.php.net/archive/2026.php#2026-10-23-1

更新：2026年10月29日追記

2026年10月29日までに、本脆弱性を悪用した攻撃活動の調査で、あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認したと報告されています。報告によると、攻撃者が対象製品を解析してバージョン別に本脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイトコードを開発していたとのことです。また、侵害した機器を足掛かりとして、内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたとしています。

Dream
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers

また、一部の製品ベンダーも、本脆弱性を悪用する攻撃を観測したとして、セキュリティアドバイザリを更新しています。今後も、PHPを組み込んださまざまな製品を標的とする実証コードの開発や、本脆弱性を悪用した攻撃が拡大する可能性があります。PHPを組み込んだ製品の管理者は、使用している製品が本脆弱性の影響を受けるか、当該製品を標的とする攻撃や侵害事例が報告されていないかを確認し、必要な対策および侵害調査を速やかに実施することを推奨します。

II. 対象

対象となる製品およびバージョンは次のとおりです。

- PHP 8.5.12より前のPHP8.5系バージョン
- PHP 8.4.27より前のPHP8.4系バージョン
- PHP 8.3.36より前のPHP8.3系バージョン
- PHP 8.2.35より前のPHP8.2系バージョン

また、PHP 8.1以前のバージョンは、アップデートバージョンが提供されないためサポートされているバージョンへのアップグレードを推奨しています。ただし、開発者は脆弱性の深刻さを考慮しPHP 7.4、PHP 8.0、PHP 8.1のEOLバージョンに対する最小限の緩和策を提供しています。詳細は、開発者が提供する最新の情報を確認してください。

なお、PHPを使用する製品やLinuxディストリビューションが提供するPHPも、本脆弱性の影響を受ける可能性があります。本脆弱性に関する対応は利用している製品やOSの提供元が公開する情報もあわせて確認してください。

III. 対策

The PHP Groupは、影響を受ける利用者に対して、修正済みバージョンを可能な限り速やかに適用するよう強く推奨しています。十分なテストを実施の上、速やかに修正済みバージョンを適用してください。詳細は、開発者が提供する最新の情報を確認してください。

IV. 緩和策

The PHP Groupは、CVE-2026-109618、CVE-2026-109619に対するアップデートができない利用者に対して緩和策を提供しています。ただし、本緩和策は特定の攻撃経路への対処にとどまり、アップデートのみが本脆弱性に対する対策としています。詳細は、開発者が提供する最新の情報を確認してください。

The PHP Groupは、CVE-2026-115560へのアップデートリリースまで以下の緩和策の設定を推奨しています。

- session.upload_progress.enabled=0に設定し、すべてのワーカーを再起動する

なお、本設定はCVE-2026-109619に対する緩和策としても案内されており、すでに適用している場合は追加の対応は不要とされています。

V. 侵害調査

本脆弱性の発見者らが公開している情報によると、本脆弱性を悪用した攻撃を受けた可能性があるかを調査するため、次のような点を確認することが推奨されています。

- 過去のHTTPレスポンスにおいて、不自然に長い、または異常な形式の値を含むPHPSESSID Cookieが設定されていないか。
- 不審なmultipart/form-data形式のHTTPリクエストが送信されていないか。また、その前後にPHPのメモリ上限に関連するエラーやHTTP 500エラーが発生していないか。
- PHPのワーカープロセスが予期せず異常終了したり、頻繁に再起動したりした痕跡がないか。

なお、本脆弱性には複数の悪用経路が存在するため、単一の検知ルールですべての攻撃を検出できるとは限りません。また、攻撃手法やログの記録状況などによっては、攻撃の痕跡が残らない場合があります。そのため、上述の痕跡が確認されない場合でも、本脆弱性を悪用した攻撃を受けていないと断定することはできません。

修正済みバージョンへの更新を速やかに実施するとともに、不審なプロセスの実行や外部通信、不審なファイルの作成など、侵害を示す他の痕跡についても確認し、継続的な監視を実施してください。

侵害が疑われる場合は、関連するログなどの証拠を保全した上で、影響範囲の調査や当該システムの隔離など、必要な対応を実施してください。

PHP2Shell
https://www.php2shell.com/

Wiz
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
https://www.wiz.io/blog/php2shell-php-rce

VI. 参考情報

GitHub php / php-src
RCE via OOM corruption
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

GitHub php / php-src
RCE via stale global state
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

更新：2026年10月29日追記

GitHub NCSC-NL / php2shell
php2shell vulnerabilities (CVE-2026-109618, CVE-2026-109619)
https://github.com/NCSC-NL/php2shell
※ オランダの国家サイバーセキュリティセンター（NCSC-NL）が公開する、本脆弱性の影響を受ける可能性がある製品の一覧や対策情報などをまとめたリポジトリー

今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

改訂履歴

2026-10-22 公開
2026-10-22 「V. 侵害調査」の一部の表現を修正
2026-10-26 「I. 概要」「IV. 緩和策」に情報を追記
2026-10-29 「I. 概要」「VI. 参考情報」に情報を追記

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp