CVE-2026-109618CVSS 9.2
メモリ不足時の破損
CVE-2026-109618 は OOM による早期終了後、初期化途中のメモリが終了処理で使われる問題です。修正は新しいソフト・ハードメモリ処理を導入します。mod_php では完全な RCE を確認済み。FPM はアプリ依存の危険性があるものの、この CVE の完全な FPM 実証は報告されていません。
ガイドを読む ↗独立した PHP セキュリティツール
PHP を確認。根拠をもって更新。
正確なバージョン確認から始めましょう。PHP2Shell の修正基準と比較し、結果を理解したうえで環境に合う対応を確認できます。
入力内容はこのブラウザ内だけで処理されます。
PHP は世界最高の言語
9.2/10深刻度：重大CVSS v4.0
02関連する脆弱性CVE-2026-109618 / 109619
04修正済みブランチPHP 8.2 → 8.5
18対応言語EN / 中文 / 日本語 / …
01 / バージョン確認
1 件でも、サーバー全体でも。
PHP バージョン、php -v の出力、または 1 行に 1 バージョンを貼り付けてください。バージョン比較のみで、攻撃検証は行いません。
バージョンの評価
JSON をダウンロード ↓PHP2SHELL / FRAMEWORK / CMS
フレームワーク・CMS の PHP2Shell 対策
PHP2Shell を修正するため、稼働中の PHP、アプリの互換性、更新の障害を確認し、CVE-2026-109618 と CVE-2026-109619 の両方の修正を検証します。ブログや通販サイトにも対応。
PHP2SHELL / PHP2Shell ツール
研究解説と実用ガイド
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
>_
PHP2Shell ツール
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
02攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
03変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
04Wiz と Calif を正確に読む
研究は要求をまたいで残る欠陥を説明します。CVE-2026-109618 は mod_php RCE を実証、FPM はソース解析による影響判断で、この CVE の完全な FPM 攻撃実証はありません。CVE-2026-109619 はアプリ依存の FPM upload-progress 経路を別に確認しています。SAPI ごとの証拠は対応 GHSA で確認してください。
05Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。
02 / 修正の基準
4 つのブランチ。明確な更新先。
PHP セキュリティチームが 2026 年 10 月 21 日に公開。同じブランチ内で比較してください。
PHP.net ↗
| PHP ブランチ | この番号未満の上流版 | 最初の修正版 | セキュリティサポート終了 |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 2029年12月31日 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 2028年12月31日 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 2027年12月31日 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 2026年12月31日 |
PHP 8.1 以前をお使いですか？
これらの通常リリースはありません。7.4、8.0、8.1 の最小ソースバックポートは公開されています。ベンダーの対応は別途確認が必要です。 ガイドを読む ↗
03 / 確認から修復へ
更新までの実用的な手順。
01
把握する
すべての PHP、パッケージ元、サイト別ハンドラを特定します。
02
更新する
修正済みビルドか、文書化されたベンダー修正を適用します。
03
再起動して検証
稼働中のワーカーを置き換え、すべてのインスタンスを確認します。
Ubuntu と Debian
php*-common と Web ハンドラのパッケージを特定し、両 CVE のトラッカーを確認します。例は PHP 8.3 用なので実際のブランチに変更してください。修正版がリポジトリにあることを確認します。changelog の記載なしは安全の証明になりません。
ガイドを読むRHEL、Rocky、AlmaLinux
OS、アプリストリーム、外部リポジトリを区別し、RPM 番号とエラッタを確認します。互換ストリームを維持してください。例は接頭辞なしの php-* 用です。並列インストールは名前が異なります。外部提供者も両修正の証拠が必要です。
ガイドを読むDocker とコンテナ
同じコンテナを再起動しても修正されません。修正済みベースを取得し、アプリイメージを再構築して全コンテナを置き換えます。検証済み digest を固定し、全レプリカを確認します。例は PHP 8.4.27 FPM。Compose サービス名は実際の名前に変更します。
ガイドを読むBaoTa と 1Panel
パネルの PHP は OS の PHP と別の場合があります。全サイトとハンドラを対応付け、信頼する更新経路で両修正を確認します。パネル更新だけでは不十分です。各サービス再起動またはコンテナ再作成後、サイトごとに再検証します。
ガイドを読むWordPress と管理型ホスティング
WordPress、Drupal、Joomla の更新では PHP は変わりません。ホストに実際のハンドラ、完全なパッケージ番号、両 CVE の修正と再起動を確認してください。管理型クラウドや機器は製品ベンダーの案内に従います。
ガイドを読むPHP2SHELL / CVE
実行環境の 2 つの欠陥。緊急の更新。
PHP2Shell は PHP 自体のメモリ安全性の欠陥です。アプリが最新でも、PHP インタープリタは未修正の場合があります。
CVE-2026-109619CVSS 9.2
リクエスト間の残留状態
CVE-2026-109619 では解放済みメモリへの参照がワーカーに残り、同じワーカーの次のリクエストが初期化前に使用します。PHP 8.5 の致命的エラーバックトレースとセッションアップロード進捗の経路が確認されています。mod_php と適切なアプリ経路を持つ FPM で RCE が実証済みです。
ガイドを読む ↗FPM は安全ですか？
いいえ。FPM はリクエスト開始失敗時に子プロセスを終了し、一部の開始時経路を防ぎますが、アプリやリクエスト間の経路は残ります。mod_php と全環境の条件が同じとは限りませんが、FPM も更新が必要です。
ディストリビューションのバックポート
Ubuntu、Debian、企業向け Linux は古い上流番号を保ったまま修正する場合があります。8.3.6 だけでは判断できません。OS、リポジトリ、アーキテクチャ、パッケージ番号と両方の CVE を照合します。架空の修正パッケージ番号は掲載しません。
PHP 8.1 以前
通常リリースはありません。例外的に 7.4、8.0、8.1 の最小ソース修正があり、ビルドと検証は運用者の責任です。OS や LTS ベンダーが保守する場合もあります。研究は条件の異なる 5.4 以降を含みます。移行と暫定修正の確認を進めてください。
暫定対策は完全ではありません
すべての変体を解決するのは完全な修正です。設定変更はアップロード、性能、可用性に影響します。解析前に管理設定で適用し、全ワーカーを再起動します。両公式資料を確認してください。CDN や WAF は修正の証明になりません。
PHP2SHELL CHECKER
バージョンを確認次は、実行環境そのものの修正です。
バージョンから始め、出典を確認し、Web サイトを実際に処理するワーカーを検証しましょう。