PHP2Shell 脆弱性とは：深刻度、影響範囲、悪用状況のまとめ

PHP2Shell の二つの脆弱性は何が違いますか？

PHP2Shell は、PHP 公式が公表した二つの脆弱性をまとめた呼び名です。

一つ目は、リクエストの準備中に PHP がメモリ不足で中断されたとき、後始末の処理が準備しきれていないデータを使ってしまう問題です。二つ目は、リクエストが終わってメモリが解放された後も古い参照がワーカーに残り、次のリクエストで使われてしまう問題です。それぞれの詳細は CVE-2026-109618 と CVE-2026-109619 のページで解説しています。

PHP2Shell はどれくらい危険ですか？

PHP 公式のアドバイザリでは、深刻度は二つとも CVSS v4.0 で 9.2（10 点満点）です。リモートコード実行、つまり外部からサーバー上で命令を実行される可能性がある点で深刻です。成功すると、サイトのファイルの書き換え、設定ファイルにあるデータベースのパスワードの読み取り、裏口（Web シェル）の設置などができてしまいます。

PHP 公式は、Apache の mod_php 構成を最もリスクが高いとし、アプリの処理より前に届く攻撃経路を確認しています。ただし、すべてのサイトが同じ方法で攻撃できるわけではなく、PHP のバージョン、設定、アプリによって条件が変わります。

どの環境が PHP2Shell の対象ですか？

Web リクエストを処理する PHP はすべて更新の対象です。

Wiz は、少なくとも一つの問題が PHP 5.4 まで遡ると報告しています。古い PHP も安全とは言えません。

PHP2Shell はすでに悪用されていますか？

攻撃の試みは観測されています。Cloudflare は、修正が公開される前から PHP2Shell を狙った攻撃の試みを観測し、WAF の利用者向けに防御ルールを導入したと発表しました。Sansec は、大規模な悪用が起きると予想しています。一方で、攻撃による侵害が成功したことは、本サイトの確認時点（2026年10月22日）では確認されていません。IPA も事前告知の時点では悪用を確認していないとしていました。

侵害の成功が確認されていないことは、悪用されていないことの証明ではありません。更新を先延ばしにする理由にはなりません。SNS などで出回る「攻撃コード」は真偽が確認されていないものが多く、出どころの分からないコードは実行しないでください。

日本政府や各国の公的機関はどう呼びかけていますか？

日本では国家サイバー統括室（NCO）が公式 X で速やかな修正の適用を求め、すぐに適用できない場合はWeb サイトの一時停止もリスクを下げる有効策の一つだとしました。高市首相も X で同様の呼びかけを行い、警視庁サイバーセキュリティ対策本部も X で修正の適用に備えるよう呼びかけました。IPA は修正の公開前に、Web サイトで PHP の利用状況の棚卸しなどの事前準備を求めました。IPA の案内はサービスの停止までは求めていません。JPCERT/CC の PHP2Shell に関する注意喚起は、本サイトの確認時点では見当たりませんでした。

修正版はどのバージョンですか？

PHP 8.1 以前のサポートが終わった系列には、新しい公式リリースは出ていません。PHP 公式は 7.4・8.0・8.1 向けに最小限のソース修正を公開していますが、保守の再開ではありません。対応は PHP サポート終了版と php2shell、全体の手順は php2shell 対処法を見てください。

PHP2Shell と wp2shell は関係がありますか？

別のものです。wp2shell は WordPress 本体の別の脆弱性で、WordPress を更新すれば修正されます。PHP2Shell は PHP 本体の問題です。名前が似ているため混同されがちですが、対処は別々に必要です。自分のサイトが対象かどうかは PHP2Shell チェッカーで確認できます。