WORDPRESS SECURITY

PHP本体に認証不要の遠隔コード実行脆弱性「PHP2Shell」（CVE-2026-109618）

Critical 実攻撃を確認

「PHP」の脆弱性情報（CVE-2026-109618）。影響バージョンはPHP 5.4以降の未修正環境。8.2.34以下、8.3.35以下、8.4.26以下、8.5.11以下。PHP 8.1以前は公式サポート終了（OS提供元のバックポート修正は別途確認）。。修正版 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（またはOS提供元の修正済みパッケージ）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月22日

対象製品: PHP（PHP実行環境）
CVE: CVE-2026-109618
CVSS / 深刻度: 9.2 / Critical
影響バージョン: PHP 5.4以降の未修正環境。8.2.34以下、8.3.35以下、8.4.26以下、8.5.11以下。PHP 8.1以前は公式サポート終了（OS提供元のバックポート修正は別途確認）。
修正版: PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（またはOS提供元の修正済みパッケージ）
脆弱性種別: 未認証RCE（メモリ不足時の初期化不備・不正なメモリ参照）

脆弱性の概要

PHP 5.4以降の未修正環境で、メモリ不足（OOM）時の例外的な処理によって不完全に初期化されたリクエストデータが誤って参照され、Webサーバー上で任意のコードを実行される可能性があります。2026年10月21日にPHP公式が修正版を公開。Cloudflareなどが攻撃試行を観測しており、対策が急務です。

技術的な内容

HTTPリクエスト処理中にOOM発生時の長距離ジャンプにより初期化途中の状態が残り、リクエストの終了処理で無効な内部データが利用される問題です。PHP本体側の処理なので、WordPress本体やプラグインを更新しても解消しません。公式はmod_phpで未認証HTTP経由のRCEを再現。PHP-FPM等でもリスクがあるとして修正を推奨しています。攻撃試行の観測と侵害成立の確認は別です。

悪用状況

実攻撃を確認

推奨対応

管理中のWordPressサイトとPHP製WebアプリのPHP実行バージョンを確認し、修正版または提供元の修正済みパッケージに速やかに更新してください。更新後はPHP-FPM/Apache等のワーカーを再起動し、稼働バージョンとログを確認。共用レンタルサーバーはホスティング事業者の修正対応状況を確認してください。PHP 8.1以前は移行または修正バックポートを確認。WAFや暫定設定は完全な対策ではありません。

情報源

情報確認日時：2026年10月22日 00:25

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。