PHP脆弱性php2shellの内容をサクッと把握！対策も！

通称「php2shell」。認証なしで任意のコード実行（RCE）につながる可能性がある、極めて危険度の高い脆弱性です。

PHPはWordPress・Laravel・Symfonyなど、多くのWebアプリケーションで使われているため、影響範囲は非常に広いです。

そんな中で悩むことは、

ですね。

今回はそんなお悩みを解決する、

についてIPA・PHP.net・JVNの一次情報をもとに、脆弱性の内容と対策を具体的な手順つきでまとめます。

ゴール

この記事のゴールは、「影響を確認し、修正版にアップデートして、暫定策も押さえた状態」になることです。

30秒でわかるまとめ

何が起きたのか（時系列）

IPAは「追記すべき情報がある場合には、その都度このページを更新する予定」としており、最新情報の確認が欠かせません。

脆弱性の正体：2つの問題が組み合わさっている

php2shellは、2つの脆弱性の組み合わせです。

① CVE-2026-109618：OOM時の「中途半端な状態」が悪用される

PHPはリクエストを処理するとき、内部のデータを少しずつ初期化します。

メモリ不足（OOM）が起きると、その初期化が途中で中断されることがあります。

ところが後片付けの処理が、中途半端なデータを「正しいデータ」として扱ってしまうことがあります。

② CVE-2026-109619：前のリクエストの状態が残ってしまう

PHP-FPMなどのワーカー（プロセス）は、複数のリクエストを使い回します。

本来はリクエストごとに内部状態がリセットされますが、解放済みメモリの状態が残ってしまうことがあります。

その結果、次のリクエストが古い状態を使ってしまう可能性があります。

なぜ「危険度が高い」のか

影響を受ける構成（SAPI）

PHP.netは「Webリクエストを処理するすべてのPHP」が対象と明言しています。

CLIでしか使っていない場合はWeb経由の攻撃は受けませんが、Webサーバと同居している場合は注意が必要です。

影響を受けるバージョン

IPAの注意喚起では、調査に関与したWiz社の見解として「PHP 5.4以降のバージョンは、これらの脆弱性のいずれかの影響を少なくとも受ける」と紹介されています。

まず自分の環境を確認する（チェックリスト）

バージョンとSAPIを確認する

コマンド1つで分かるのでカンタンですね。

# PHPのバージョン
php -v

# SAPI（php-fpm / apache2handler / cgi-fcgi など）
php -i | grep -i "Server API"

# 設定ファイルの場所
php --ini

# 読み込まれているモジュール（Apacheの場合）
apache2ctl -M | grep php

Dockerを使っている場合

# 稼働中コンテナのPHPバージョン
docker exec -it コンテナ名 php -v

# イメージのタグ確認
docker image ls | grep php

# docker-compose の定義確認
grep -n "image:.*php" docker-compose.yml

対策①：修正版へアップデートする（最優先）

これが唯一の完全な解決策です。

Debian / Ubuntu 系

sudo apt update
sudo apt upgrade -y
# バージョン確認
php -v

RHEL / Rocky / AlmaLinux 系

sudo dnf update -y
# 特定パッケージのみ更新する場合
sudo dnf update php\* -y
php -v

Docker の場合

# Dockerfile のタグを修正版に変更
# FROM php:8.4.27-fpm   ← 8.4.26 などから変更

docker compose build --pull
docker compose up -d
docker exec -it コンテナ名 php -v

ソースからビルドしている場合

PHP.net のダウンロードページから 8.5.12／8.4.27／8.3.36／8.2.35 を取得して再ビルドします。

WordPress・Laravel・Symfony の場合

アプリのコードを直すのではなく、PHP本体（実行環境）を更新するのがポイントです。

対策②：すぐ更新できない場合の暫定策

重要：暫定策は攻撃経路を減らすだけで、安全にはなりません。あくまで更新までの時間稼ぎです。

CVE-2026-109618（OOM）への暫定策

CVE-2026-109619（状態の残存）への暫定策

対策③：侵害の兆候を確認する

更新とあわせて、不審なアクセスがなかったかを確認しておきましょう。

不審な兆候があった場合は、証拠（ログ）を保存したうえで、IPAや専門機関への相談を検討してください。

PHP 8.1以前を使っている場合

PHP 8.1以前はサポート終了（EOL）のため、PHPプロジェクトからは更新が提供されません。

ただし、今回の事態を受けてPHP 7.4／8.0／8.1 向けに最小限のソースバックポートが提供されています。

IPAが示す「修正が難しい場合」の6ステップ

IPAは、すぐに修正できない組織向けに判断の手順を示しています。

「対策できないから放置」が最も危険です。外部からのアクセス遮断や一時停止も、IPAは選択肢として示しています。

よくある質問（FAQ）

用語集

タカヒロ

「アプリの入力チェックである程度守られている」と思っていると危ないのが今回の怖さです。
PHP本体の処理で発動するので、アプリ側では防げません。まずは php -v で自分のバージョンを確認するところから始めましょう。

さいごに

今回は、PHPの脆弱性「php2shell」の内容と対策をまとめました。

脆弱性対応は「知ったときが一番早い」と言われます。

まずは php -v でのバージョン確認から、ぜひ試してみてください。
当てはまる場合は今日中にアップデートを済ませましょう。