PHP2Shell とは？
PHP2Shell は PHP 自体のメモリ安全性の欠陥 CVE-2026-109618 と CVE-2026-109619 の総称です。いずれも CVSS v4.0 は 9.2。未認証のコード実行とメモリ漏えいが実証され、2026 年 10 月 21 日に修正されました。特定の CMS だけの問題ではありません。
確認が必要な環境
FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed を含むすべての Web 環境を更新してください。WordPress、Drupal、Joomla、MediaWiki、Laravel、自作アプリも対象です。管理画面、機器、検証環境、コンテナも調査が必要です。アプリ更新では PHP は置き換わりません。
FPM は安全ですか？
いいえ。FPM はリクエスト開始失敗時に子プロセスを終了し、一部の開始時経路を防ぎますが、アプリやリクエスト間の経路は残ります。mod_php と全環境の条件が同じとは限りませんが、FPM も更新が必要です。
ディストリビューションのバックポート
Ubuntu、Debian、企業向け Linux は古い上流番号を保ったまま修正する場合があります。8.3.6 だけでは判断できません。OS、リポジトリ、アーキテクチャ、パッケージ番号と両方の CVE を照合します。架空の修正パッケージ番号は掲載しません。
PHP 8.1 以前
通常リリースはありません。例外的に 7.4、8.0、8.1 の最小ソース修正があり、ビルドと検証は運用者の責任です。OS や LTS ベンダーが保守する場合もあります。研究は条件の異なる 5.4 以降を含みます。移行と暫定修正の確認を進めてください。
暫定対策は完全ではありません
すべての変体を解決するのは完全な修正です。設定変更はアップロード、性能、可用性に影響します。解析前に管理設定で適用し、全ワーカーを再起動します。両公式資料を確認してください。CDN や WAF は修正の証明になりません。
修正済みでも侵害は否定できません
バージョン比較では過去の攻撃を判断できません。ログとイメージを保全し、異常終了、ファイル、プロセス、外向き接続を調査します。エラーなしは安全の証拠ではありません。疑いがあれば隔離し、封じ込め後に信頼する環境から秘密を更新してください。
評価方法
手動確認は公開済み 4 系列の完全な安定版を比較します。ベンダー版は両 CVE の証拠が必要です。オンライン確認は公開バージョンと手掛かりの収集であり、悪用を実証しません。隠されたヘッダー、CDN、更新済みの 1 台だけでは全環境の安全性は分かりません。日付は編集上の確認時点です。
無料スキャナーで侵入が分かる？
確定はできません。ヘッダーとパターンは完全な実行環境、失われた履歴、メモリー漏えいを見られません。台帳、証拠保存、ログ照合から始め、不正アカウント、プロセス、漏えいがあれば隔離して事業者や対応チームに連絡してください。
攻撃の試行か、侵入成功か →