CVE-2026-109618：PHP2Shellの対象と修正版

CVE-2026-109618 は何が問題なのですか？

PHP は、Web リクエストを受け取るたびに、そのリクエスト用のデータを準備します。CVE-2026-109618 は、この準備の途中で PHP がメモリの上限に達して処理が止まったときに起きます。止まった後の後始末の処理が、まだ準備しきれていないデータをそのまま使ってしまい、メモリの内容が壊れます。

PHP 公式のアドバイザリ（GHSA-w8hw-w9fx-j79w）の題名は「RCE via OOM corruption」で、メモリ不足（OOM）による破損からリモートコード実行（RCE）につながることを示しています。深刻度は CVSS v4.0 で 9.2 です。

CVE-2026-109618 の影響を受けるのはどの環境ですか？

Web リクエストを処理する PHP が対象です。PHP-FPM、Apache の mod_php、CGI、FrankenPHP、LiteSpeed などの構成がすべて含まれます。Wiz は、PHP2Shell のうち少なくとも一つの問題が PHP 5.4 まで遡ると報告しています。

自分のサイトの PHP が対象かどうかは PHP2Shell チェッカーで確認できます。

CVE-2026-109618 の修正版はどのバージョンですか？

系列	最初の修正版
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12
8.1 以前	新しいリリースなし（7.4・8.0・8.1 は公式ソースパッチあり）

CVE-2026-109618 と CVE-2026-109619 は同じリリースで修正されています。Ubuntu などの配布元パッケージは、PHP の表示番号が古いままでも修正が取り込まれている場合があります。

配布元	リリース	パッケージ	修正済みパッケージ	状況
Ubuntu	22.04	php8.1	8.1.2-1ubuntu2.28	修正済み
Ubuntu	24.04	php8.3	8.3.6-0ubuntu0.24.04.13	修正済み
Ubuntu	26.04	php8.5	8.5.4-0ubuntu1.5	修正済み
Ubuntu	26.10	php8.5	8.5.9-0ubuntu2.1	修正済み
Debian	13	php8.4	8.4.27-1~deb13u1	修正済み
Docker Official Images	—	php	—	未確認
宝塔	—	PHP	—	未確認
XServer	—	PHP	—	未確認
ConoHa WING	—	PHP	—	未確認
ロリポップ！	—	PHP	—	未確認
1Panel	—	1panel/php	—	未確認

2026年10月21日〜2026年10月22日に確認。

CVE-2026-109618 に回避策はありますか？

修正の代わりになる回避策はありません。CVE-2026-109618 について、PHP 公式は memory_limit を -1（上限なし）にすることと、post_max_size を小さくする（アップロードがないサイトは 8M、必要な場合は 32M）ことを暫定対策として案内しています。ただし、memory_limit=-1 でも下位のメモリ確保の失敗からは脆弱な経路に届きうるうえ、サーバーのメモリの使用量に注意が必要です。post_max_size を小さくすると、それより大きなアップロードは失敗します。設定の効果と限界は php2shell 回避策にまとめています。

CVE-2026-109618 はすでに悪用されていますか？

Cloudflare は、修正の公開前から PHP2Shell を狙った攻撃の試みを観測したと報告しています。攻撃による侵害の成功は、本サイトの確認時点（2026年10月22日）では確認されていません。ただし、それは安全の証明ではないため、早めに更新してください。

CVE-2026-109618 への対応で何をすればいいですか？

サイトで動いている PHP のバージョンを確認します（PHP バージョン確認方法）。
修正版、または配布元の修正済みパッケージへ更新します（php2shell 対処法）。
PHP-FPM や Apache を再起動し、古いワーカーが残っていないことを確かめます。
更新前に侵入されていないか確認します（サイト改ざん・侵害の確認方法）。

根拠となる情報は？

PHP2Shell の影響をチェック

サイトが使っている PHP のバージョンを入力してください。系列ごとの最初の修正版と比べ、次にすべきことを表示します。

PHP2Shell チェッカー →

情報源

このページの主要な事実（修正版、CVE の内容、配布元のパッケージ、公的機関の呼びかけ）は公式の情報源にもとづいています。研究者の報告、報道、コミュニティの投稿はそれぞれ区別して表示しています。

RCE via OOM corruption公式 The PHP Group
Security advisory: Critical remote code execution vulnerabilities, update now公式 The PHP Group
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet研究 Wiz Research
CVE-2026-109618事業者 Canonical
Cloudflare deploys protections against php2shell vulnerabilityCDN 事業者 Cloudflare

CVE-2026-109618：PHP のメモリ不足時に起きる破損の脆弱性（PHP2Shell）

脆弱性の基本情報