WORDPRESS SECURITY

PHP本体に認証不要の遠隔コード実行脆弱性「PHP2Shell」（CVE-2026-109619）

Critical 実攻撃を確認

「PHP」の脆弱性情報（CVE-2026-109619）。影響バージョンはPHP 5.4以降の未修正環境。8.2.34以下、8.3.35以下、8.4.26以下、8.5.11以下。PHP 8.1以前は公式サポート終了（OS提供元のバックポート修正は別途確認）。。修正版 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（またはOS提供元の修正済みパッケージ）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月22日

対象製品: PHP（PHP実行環境）
CVE: CVE-2026-109619
CVSS / 深刻度: 9.2 / Critical
影響バージョン: PHP 5.4以降の未修正環境。8.2.34以下、8.3.35以下、8.4.26以下、8.5.11以下。PHP 8.1以前は公式サポート終了（OS提供元のバックポート修正は別途確認）。
修正版: PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（またはOS提供元の修正済みパッケージ）
脆弱性種別: 未認証RCE（解放済みメモリ参照・リクエスト間の内部状態残留）

脆弱性の概要

PHPのHTTPリクエスト処理で解放済みメモリへの参照が残り、同一ワーカーが次のリクエストを処理した際に不正参照や任意コード実行に至る可能性があります。2026年10月21日にPHP公式が修正版を公開。CloudflareなどがPHP2Shellへの攻撃試行を観測しています。

技術的な内容

異常終了したリクエストが保持していた内部グローバル状態が適切に初期化されず、次のリクエストで解放済みメモリを参照する問題です。PHPランタイムに起因するため、WordPressの認証やプラグイン更新では防げません。PHP公式はsession.upload_progress無効化などの暫定緩和策を案内していますが、それだけでは完全に保護されず、修正版への更新が必要です。攻撃試行の観測と侵害成立の確認は別です。

悪用状況

実攻撃を確認

推奨対応

管理中のWordPressサイトとPHP製WebアプリのPHP実行バージョンを確認し、修正版または提供元の修正済みパッケージに速やかに更新してください。更新後はPHP-FPM/Apache等のワーカーを再起動し、稼働バージョンとログを確認。共用レンタルサーバーはホスティング事業者の修正対応状況を確認してください。PHP 8.1以前は移行または修正バックポートを確認。WAFや暫定設定は完全な対策ではありません。

情報源

情報確認日時：2026年10月22日 00:25

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。