「PHP」に“致命的”な脆弱性2件、日本時間21日深夜に緊急のセキュリティリリースへ【15時20分追記】

「PHP」のセキュリティチームによる事前告知

　スクリプト言語「PHP」のセキュリティチームは10月20日（協定世界時）、「PHP」で重大なセキュリティリリースを行うと事前告知した。リリースは10月21日14時（協定世界時、日本時間では同日23時）に予定されている。

　このセキュリティアップデートでは、2件の“致命的”（Critical）な脆弱性に対処するとのこと。「CVSS 4.0」の基本値はいずれも『9.2』と評価されている。脆弱性の詳細、影響を受けるバージョン、修正済みのバージョンは、リリースと同時に公開される予定だ。

　また、いずれかの脆弱性の詳細が公になったり、実際に悪用されている証拠が見つかったりした場合は、予定より早くリリースする可能性があるという。

　GMO Flatt Securityによると、発見に関与したとみられる研究者の投稿でこの脆弱性は「php2shell」と呼ばれている。同社はCVE番号を「CVE-2026-109618」「CVE-2026-109619」としており、外部から任意のコードを実行（RCE）されるメモリ破損系の脆弱性とみられるという。研究者の投稿によれば、「mod_php」「PHP-FPM」や「WordPress」「Laravel」「Symfony」など、さまざまな構成で攻撃が再現するようだ。

　同社は、独自調査で確認した問題と「php2shell」が一致するのであれば、「Session Upload Progress」機能（ext/session）に関わるものとみている。この機能は既定で有効なため、同社は影響が広範に及ぶ可能性があると指摘している。

　パッチ公開前の緩和策としては、「php.ini」で「session.upload_progress.enabled=0」を設定して同機能を無効化することが挙げられている。ただし、この緩和策が確実に効果があるとは断言できない（同社は今回の脆弱性の開示調整には関与しておらず、この内容が不正確である可能性もある）。

　同社はそのほかにも、パッチ公開前に以下の準備を進めるよう呼びかけている。

• PHPを利用している自社システムの洗い出し
• PHPのアップデート手順と、アップデート後のアプリの動作検証手順の確認
• PHPの設定変更手順の確認と、その手順が機能するかの検証
• サーバーの停止なども見据えた、関係各所への連絡とフローの再確認
• サーバー内のデータや、サーバーが持つ権限（クラウドのIAMロールなど）の最小化
• ログ設定の見直し

　「PHP」を利用している場合は、修正版が公開され次第すぐにアップグレードできるよう、今のうちから準備しておきたい。

【2026年10月21日15時20分編集部追記】 GMO Flatt Security社によると、追加の調査により「Session Upload Progress」機能を無効化するだけでは「php2shell」脆弱性の対策とならないと判明したとのこと。そのためパッチの公開前にはアップデート準備をするとともに攻撃トラフィックの監視を徹底し、公開後は即適用することを推奨するとしている。