PHPは、企業のWebサイトや業務システム、WordPressをはじめとするCMSなど、幅広いシステムで利用されています。そのため、自社でPHPを直接開発していない企業であっても、利用中のシステムやホスティング環境に影響が及ぶ可能性があります。

本記事では、PHP2Shellの概要、影響を受けるシステム、緊急対応の手順、そして再発防止に向けたセキュリティ対策について解説します。

1. PHP2Shellとは？

PHP2Shellとは、PHPの実行環境に存在する2つの重大な脆弱性、CVE-2026-109618とCVE-2026-109619を指す名称です。

これらは、PHPがリクエストの処理中にエラーが発生した際、メモリの管理や内部状態の処理を適切に行えないことに起因します。攻撃者が細工したHTTPリクエストを送信することで、条件によってはサーバー上で任意のコードを実行できる可能性があります。

特に注意すべき点は、脆弱性が個別のWebアプリケーションだけでなく、PHPの実行環境そのものに存在することです。アプリケーションのソースコードやプラグインを修正するだけでは、根本的な解決になりません。

また、アプリケーションの認証機能やアクセス制御だけでは、PHPランタイムに起因する攻撃を十分に防げない場合があります。

PHP2Shellの主なリスク

• リモートコード実行（RCE）： 攻撃者がサーバー上で不正なコードを実行する可能性がある。

• 機密情報の漏えい： メモリ内に残存する情報などが不正に読み取られるおそれがある。

• サービス停止： PHPプロセスの異常終了などにより、Webサービスの可用性が損なわれる可能性がある。

• 二次被害： サーバーに保存された情報や、接続先のデータベース、クラウド環境などに被害が拡大するおそれがある。

脆弱性の深刻度だけでなく、インターネットからアクセスできるシステムであるか、どのような権限や機密情報を保持しているかという観点からも、リスクを評価する必要があります。

2. CVE-2026-109618とCVE-2026-109619の違い

2つの脆弱性はいずれもPHP内部のメモリ管理に関係しますが、問題が発生する仕組みは異なります。

CVE-2026-109618では、メモリ不足によって処理が中断された際、初期化が不完全なメモリを後続の処理が参照することが問題になります。

一方、CVE-2026-109619では、リクエストの終了時に解放されたメモリへの参照が内部状態に残り、後続処理で利用されることが問題になります。

いずれもPHPの内部処理に関わる問題であり、通常のアプリケーション開発で行う入力値チェックだけでは根本的な対策になりません。

両脆弱性の深刻度はCVSS v4.0で9.2と評価されています。企業のWebシステムを運用している場合は、優先度の高いセキュリティ対応として扱うべきです。

3. 影響を受けるPHPのバージョンとシステム

PHP2Shellへの対応では、PHPのバージョンだけでなく、実際にWebリクエストを処理している実行環境を確認することが重要です。

PHPのセキュリティ更新情報では、次の修正版が公開されています。

上記は、PHPプロジェクトが公開した修正版の基準です。実際の更新時には、利用しているOSやディストリビューション、ホスティング事業者が提供するパッケージの修正状況も確認してください。

PHP 8.1以前のバージョンは、PHPプロジェクトによる通常のサポートが終了しているため、サポート対象のバージョンへの移行を検討する必要があります。ただし、一部のベンダーでは独自の修正パッチが提供される場合があります。

確認すべきシステム

次のようなシステムを運用している企業は、影響調査の対象に含めてください。

• WordPressなどのCMSを利用した企業サイト

• PHPで構築されたECサイトや会員向けサービス

• Laravel、Symfonyなどのフレームワークを利用したWebアプリケーション

• PHP-FPM、Apache mod_php、php-cgiなどを使用するサーバー

• コンテナイメージ、クラウドサービス、業務用アプライアンスに組み込まれたPHP環境

なお、PHPの実行環境や公開範囲によってリスクは異なります。特にインターネットから直接アクセス可能なシステムは、優先的に確認する必要があります。

4. PHP2Shellへの緊急対応ガイド

PHP2Shellのリスクを低減するには、対象システムの特定、修正パッチの適用、動作確認、ログ調査を順番に進めることが重要です。

Step 1：PHPを利用しているシステムを洗い出す

最初に、自社が管理するサーバー、Webサイト、アプリケーション、コンテナなどを一覧化します。

確認する項目は次のとおりです。

• PHPのバージョンとサポート状況

• PHPの実行方式と配置場所

• インターネットからのアクセス可否

• サーバーやクラウドの管理担当者

• 更新作業に必要な権限と手順

レンタルサーバーやマネージドサービスを利用している場合は、PHPのバージョンと修正パッチの適用状況を事業者に確認してください。

Step 2：修正済みバージョンへ更新する

対象となるPHP環境には、利用環境に適した修正版を速やかに適用します。

更新前には、バックアップ、依存ライブラリ、拡張モジュール、実行環境の互換性を確認します。緊急対応であっても、更新手順と切り戻し手順を明確にしておくことが重要です。

本番環境への適用後は、ログイン、フォーム送信、ファイルアップロード、データベース接続、API連携など、主要な機能が正常に動作するかを検証します。

修正版への更新が直ちに実施できない場合は、公開範囲の制限や一時的なサービス停止を含めてリスクを評価してください。WAFなどによる防御は補助策であり、パッチ適用の代替にはなりません。

Step 3：一時的な緩和策を実施する

パッチ適用まで時間がかかる場合は、公式アドバイザリや利用環境の情報を確認し、実施可能な緩和策を検討します。

例として、PHPのセッションアップロード進捗機能を利用している場合、次の設定を無効化する方法が案内されています。

ただし、この設定変更だけで両脆弱性を完全に解消できるわけではありません。アプリケーションの仕様やPHPの構成によって影響も異なるため、変更前に検証し、必要に応じてPHPプロセスを再起動してください。

また、WAFによる不正リクエストの遮断、不要な外部公開の停止、アップロードサイズの制限なども補助策として検討できます。いずれも修正済みバージョンへの更新を優先する前提で実施してください。

Step 4：不正アクセスや侵害の痕跡を調査する

修正パッチを適用した後も、過去に攻撃を受けていないかを確認する必要があります。

Webサーバー、PHP、アプリケーション、認証、EDRなどのログを確認し、次のような兆候がないか調査します。

• 通常とは異なるHTTPリクエストや大量のエラー

• WebサーバーやPHPプロセスから起動された不審なプロセス

• 覚えのないファイル、アカウント、設定変更

• 不審な外部通信やデータベースへのアクセス

• 不自然な権限変更や認証イベント

不正な挙動が確認された場合は、証拠となるログを保全し、影響範囲を特定したうえで、必要に応じて専門家によるインシデント対応を実施してください。

Step 5：再発防止に向けて運用を見直す

今回の対応を一時的な作業で終わらせず、継続的なセキュリティ運用につなげることが重要です。

• PHPや関連ライブラリのバージョン管理

• セキュリティアドバイザリの定期的な確認

• 最小権限の原則に基づくサーバー・クラウド権限の管理

• ログの適切な保存と改ざん防止

• バックアップと復旧手順の定期的な検証

• 緊急パッチ適用時の連絡・承認フローの整備

特に、クラウド環境では、アプリケーションに付与された権限が過剰になっていないかを確認し、万が一侵害された場合の被害を最小限に抑える設計が求められます。

5. PHP2Shell対応で企業が注意すべきポイント

PHP2Shellへの対応で重要なのは、単にPHPを更新することだけではありません。対象システムの把握から、パッチ適用、動作検証、侵害調査までを一連のプロセスとして管理する必要があります。

特に、次の3点を意識してください。

第一に、システムの全体像を把握すること。 自社開発のWebサイトだけでなく、外部ベンダーが開発・運用するシステムや、コンテナに含まれるPHPも確認対象です。

第二に、更新と業務継続のバランスを取ること。 本番環境の停止が難しい場合でも、リスクを放置せず、検証環境でのテスト、適用計画、切り戻し手順を整備して迅速に対応します。

第三に、専門知識が必要な作業を適切に切り分けること。 PHPの更新だけでなく、サーバー設定、クラウド権限、ログ分析、アプリケーションの回帰テストなど、複数の技術領域にまたがる対応が必要になる場合があります。

6. PHP2Shellは迅速な調査と修正が重要

PHP2Shell（CVE-2026-109618・CVE-2026-109619）は、PHPの実行環境に関わる重大な脆弱性です。悪用された場合、リモートコード実行や機密情報の漏えいなど、企業の事業継続に影響する被害につながる可能性があります。

企業が優先して取り組むべき対応は、次の4つです。

1. PHPを利用しているシステムとバージョンを特定する。

2. 公式情報を確認し、修正済みバージョンを適用する。

3. 更新後の動作確認と、過去の不正アクセスの調査を実施する。

4. ログ管理、権限管理、緊急対応フローを見直す。

セキュリティ対応では、初動の速さと、更新後の安全性を確認する検証の両方が重要です。自社だけでの対応が難しい場合は、PHPやクラウド環境に詳しい技術者と連携し、優先順位を明確にして進めましょう。

Hatonetでは、企業のIT課題に応じたシステム開発や技術支援の体制づくりを検討する際に、専門人材や開発チームとの連携を支援します。PHPの脆弱性対応、既存システムの保守・改善、クラウド環境の見直しなどで技術リソースに課題がある場合は、必要な支援内容を整理することから始めてみてはいかがでしょうか。