PHP2Shell とは？
PHP2Shell は PHP 自体のメモリ安全性の欠陥 CVE-2026-109618 と CVE-2026-109619 の総称です。いずれも CVSS v4.0 は 9.2。未認証のコード実行とメモリ漏えいが実証され、2026 年 10 月 21 日に修正されました。特定の CMS だけの問題ではありません。
確認が必要な環境
FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed を含むすべての Web 環境を更新してください。WordPress、Drupal、Joomla、MediaWiki、Laravel、自作アプリも対象です。管理画面、機器、検証環境、コンテナも調査が必要です。アプリ更新では PHP は置き換わりません。
FPM は安全ですか？
いいえ。FPM はリクエスト開始失敗時に子プロセスを終了し、一部の開始時経路を防ぎますが、アプリやリクエスト間の経路は残ります。mod_php と全環境の条件が同じとは限りませんが、FPM も更新が必要です。
PHP 8.1 以前
通常リリースはありません。例外的に 7.4、8.0、8.1 の最小ソース修正があり、ビルドと検証は運用者の責任です。OS や LTS ベンダーが保守する場合もあります。研究は条件の異なる 5.4 以降を含みます。移行と暫定修正の確認を進めてください。
PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
PHP2Shell ツール →PHP 実行環境ごとの根拠
| 実行環境 | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE 実証済み | RCE 実証済み |
| PHP-FPM | アプリ依存の危険性。この CVE の完全な FPM 攻撃は未実証 | 適切なアプリ経路で RCE 実証済み |
php-cgi、FrankenPHP、LiteSpeed も更新が必要です。PHP はすべての Web 環境の更新を推奨します。表は実証済み経路と一般的リスクを区別しています。