注意喚起: PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (公開)

2026年10月21日にPHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表しました。本脆弱性が悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される可能性があります。

The PHP Group
Security advisory: Critical remote code execution vulnerabilities, update now
https://www.php.net/archive/2026.php#2026-10-21-5

JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。本脆弱性の影響を受ける製品を利用している場合は、開発者が提供する情報などを参考に、速やかに対策の適用および侵害有無の調査を実施してください。

II. 対象対象となる製品およびバージョンは次のとおりです。

– PHP 8.5.12より前のPHP8.5系バージョン
– PHP 8.4.27より前のPHP8.4系バージョン
– PHP 8.3.36より前のPHP8.3系バージョン
– PHP 8.2.35より前のPHP8.2系バージョン

また、PHP 8.1以前のバージョンは、アップデートバージョンが提供されないためサポートされているバージョンへのアップグレードを推奨しています。ただし、開発者は脆弱性の深刻さを考慮しPHP 7.4、PHP 8.0、PHP 8.1のEOLバージョンに対する最小限の緩和策を提供しています。詳細は、開発者が提供する最新の情報を確認してください。

なお、PHPを使用する製品やLinuxディストリビューションが提供するPHPも、本脆弱性の影響を受ける可能性があります。本脆弱性に関する対応は利用している製品やOSの提供元が公開する情報もあわせて確認してください。

III. 対策The PHP Groupは、影響を受ける利用者に対して、修正済みバージョンを可能な限り速やかに適用するよう強く推奨しています。十分なテストを実施の上、速やかに修正済みバージョンを適用してください。詳細は、開発者が提供する最新の情報を確認してください。

IV. 緩和策The PHP Groupは、CVE-2026-109618、CVE-2026-109619に対するアップデートができない利用者に対して緩和策を提供しています。ただし、本緩和策は特定の攻撃経路への対処にとどまり、アップデートのみが本脆弱性に対する対策としています。詳細は、開発者が提供する最新の情報を確認してください。

V. 侵害調査本脆弱性の発見者らが公開している情報によると、本脆弱性を悪用した攻撃を受けた可能性があるかを調査するため、次のような点を確認することが推奨されています。

– 過去のHTTPレスポンスにおいて、不自然に長い、または異常な形式の値を含むPHPSESSID Cookieが設定されていないか。
– 不審なmultipart/form-data形式のHTTPリクエストが送信されていないか。また、その前後にPHPのメモリ上限に関連するエラーやHTTP 500エラーが発生していないか。
– PHPのワーカープロセスが予期せず異常終了したり、頻繁に再起動したりした痕跡がないか。

なお、本脆弱性には複数の悪用経路が存在するため、単一の検知ルールですべての攻撃を検出できるとは限りません。また、攻撃手法やログの記録状況などによっては、攻撃の痕跡が残らない場合があります。そのため、上述の痕跡が確認されない場合でも、本脆弱性を悪用した攻撃を受けていないと断定することはできません。

修正済みバージョンへの更新を速やかに実施するとともに、不審なプロセスの実行や外部通信、不審なファイルの作成など、侵害を示す他の痕跡についても確認し、継続的な監視を実施してください。

侵害が疑われる場合は、関連するログなどの証拠を保全した上で、影響範囲の調査や当該システムの隔離など、必要な対応を実施してください。

PHP2Shell
https://www.php2shell.com/

Wiz
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
https://www.wiz.io/blog/php2shell-php-rce

VI. 参考情報
GitHub php / php-src
RCE via OOM corruption
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

GitHub php / php-src
RCE via stale global state
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

改訂履歴2026-10-22 公開
2026-10-22 「V. 侵害調査」の一部の表現を修正

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp

Topへ

出典: www.jpcert.or.jp
URL: https://www.jpcert.or.jp/at/2026/at260033.html