piyolog.hatenadiary.jp
修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた
2026年10月20日、PHPの開発元であるThe PHP Groupのセキュリティチームは、PHPの深刻な脆弱性2件を修正するセキュリティリリースを予告しました。ここでは関連する情報をまとめます。（開発元等から詳細情報が公開され次第更新します。）
### 開発元は何を予告したの?
PHPのセキュリティチームは10月20日(協定世界時)、2件の critical な脆弱性を修正するセキュリティリリースを予告した。2件とも深刻度は CVSS v4.0 で 9.2(Critical)。リリースは10月21日14時(協定世界時、日本時間23時)の予定で、全てのPHP利用者に事前の準備を呼びかけた(出典: 1, 2)。
いずれかの脆弱性の詳細が公になった場合、または実際の悪用の証拠が見られた場合は、より早くリリースする権利を留保するとしている。詳細、影響バージョン、修正版はリリース時に公表する(出典: 1)。*1
### 公式以外はどんな主張をしているの?
10月21日の日本時間16時台の時点で、CVE番号、脆弱性の種類、影響バージョンは、いずれも開発元の公表ではなく、セキュリティ企業や公的機関の主張や見立てに基づく。
#### 先行して出回った情報
Sansec によると、10月20日15時20分(協定世界時)に、掲示板の Hacker News に PHP のリモートコード実行の脆弱性2件が近く開示されるとの投稿があった。投稿は後に削除された(出典: 7, 10)。
この2件は、セキュリティ企業や研究者の間で通称「php2shell」と呼ばれている(出典: 7, 8, 9)。
watchTowr は10月20日、PHP のエンバーゴ(脆弱性情報を一定の日時まで公開しない取り決め)下にある情報が漏えいし、実在すると確認できるとX上で投稿した。同社 CEO は、2件は木曜(10月22日)の午前11時(米東部時間)に公表される予定だったと説明している(出典: 10)。
#### CVE番号と脆弱性の種類
watchTowr の研究者は、2件を CVE-2026-109618 と CVE-2026-109619 とし、リモートコード実行の脆弱性と説明した。同社は CVE-2026-109618 の再現に成功したと考えているが、技術情報はパッチの公開まで出さないとしている(出典: 10)。*2
CERT-EU は、漏えい情報に基づき、2件がリモートコード実行につながりうるとしている。CVE番号は同じ2つを挙げる(出典: 3)。*3
#### 影響を受けるバージョン
影響範囲は主体によって記述が異なる。
* watchTowr の CEO は、PHP 5、6、7、8 に影響すると理解していると述べた(出典: 10)
* CERT-EU は、PHP 5 以降の全てのバージョンに影響しうるとしている(出典: 3)
* Sansec は、PHP 5.4 以降の全ての Web サーバーに影響すると記している(出典: 7)。*4
#### 脆弱性の原因
GMO Flatt Security は、エンバーゴや開示調整には関与しておらず、記述に不正確な情報が含まれる可能性もあると断ったうえで、自社の独自調査の問題と一致する限りにおいて、PHP の Session Upload Progress 機能(ext/session)に関わるメモリ破壊系のバグと見ている(出典: 9)。
同社は初版で、この機能の設定を無効化することが緩和に一定の確率で役立つと見ていたが、10月21日14時(日本時間)の追記で、緩和にとどまり攻撃自体は回避できない見込みに改めた。根本的な対策はパッチの公開としている(出典: 9)。watchTowr は FAQ で、確認された回避策は現時点でないとしている(出典: 6)。
### 公的機関はどう受け止めているの?
CERT-EU は10月20日、PHP の予告を受けて注意喚起を公開した。CVE番号、リモートコード実行の可能性、影響範囲は漏えい情報などの参照に基づくもので、技術的な詳細は公開されていないとしている(出典: 3)。
オーストラリアの ASD/ACSC は10月21日、同国の現地時間10月22日1時(AEDT)のリリース予定として注意喚起を公開した。CVE番号は関連する報道によるもので、PHP 5 以降が影響を受けうると理解しているとし、公式の技術的詳細は公開されていないとしている(出典: 4)。
IPA は10月21日、日本時間23時のリリース予定を紹介し、事前準備を呼びかけた。準備の内容として、開発、運用しているプログラムのうち PHP を利用しているものの棚卸しと、The PHP Group が今後公開する情報の注視、公開後すみやかにセキュリティリリースを適用できる体制を挙げている。製品や機器の内部で使われている PHP については、製品のマニュアルや開発元、提供元のセキュリティ情報の確認を求めている。影響を受ける詳細なバージョンは確認できていないとしており、CVE番号と PHP 5 以降の記載は CERT-EU の注意喚起の内容として紹介している(出典: 5)。
国内では国家サイバー統括室が10月21日、公式 X で、公開しているウェブサイトでの PHP の使用有無の確認と、23時(日本時間)に公開される修正パッチを速やかに適用できる準備を呼びかけた(出典: 11)。
### 悪用に関する動きは?
10月20日から21日にかけて、各社と各機関は実際の悪用を観測、認識していないとしている。
* watchTowr: 10月20日に同社の研究者が悪用を観測していないとし、FAQ でも10月21日時点で悪用の報告はないとしている。FAQ は CISA の KEV にも登録されていないとしている(出典: 6, 10)
* Huntress: 10月20日時点で、自社のパートナー環境で悪用を見ていないとしている(出典: 8)
* ASD/ACSC: 10月21日時点で、悪用を認識していないとしている(出典: 4)
* IPA: 10月21日時点で、悪用した攻撃を確認しているわけではないとしている(出典: 5)
一方、**実証コードにあたるとみられるものの流通が報告** されている。Huntress は10月20日時点で、自社では PoC を作成も再現もしておらず、公開されたエクスプロイトコードも認識していないとしたうえで、短い攻撃動画が一時投稿され、削除されたと記している(出典: 8)。GMO Flatt Security は10月21日14時(日本時間)の追記で、この脆弱性を悪用できると主張するコードが、既にインターネット上に出回り始めていると記した(出典: 9)。これらは実際の悪用の観測とは別の情報で、コードの内容や所在は各社の記述からは示されていない。
### 予告を受けてサービスを止めた組織は?
10月21日、国内の複数の組織が、修正版が公開される23時(日本時間)より前にサービスやサイトを止めたり、23時に合わせた緊急メンテナンスを告知したりした(出典: 12)。各社の告知で確認できたのは次の19組織で、サービス全体を止めた組織、管理画面や新規受付など一部の機能を止めた組織、自社や団体のサイトを止めた組織に分かれる。*5
#### サービス全体を止めた組織
組織 | 止めたもの | 時期(日本時間)
---|---|---
コドモン | 全サービス(保護者アプリを含む) | 21日から順次、22日早朝に再開見込み
BASE | ・Web サービス
・PAY ID アプリ
・API | 21日15時50分〜22日7時(予定)
GMW(pictSQUARE、MXentry) | ・オンライン即売会サービスの全機能
・エントリー管理サービスの全機能 | 21日から、22日中の再開を目標
アルファポリス | 運営するすべての Web サイトとアプリ | 21日17時台の告知から、安全性の確認後に再開
TechBowl | 就職、転職サービス TechTrain と DirecTrain の全機能 | 21日17時から、再開は未定
JCS | ezblox のサービス | 21日19時〜22日9時(予定)
Cygames(Shadowverse: Worlds Beyond、グランブルーファンタジー) | ・Shadowverse: Worlds Beyond のゲームと公式サイト
・グランブルーファンタジー | ・21日23時から、終了は未定
・21日23時〜22日7時(予定)
root ip | 知財管理システムの緊急システムメンテナンス | 21日22時30分〜22日1時(予定)
#### 一部の機能を止めた組織
組織 | 止めたもの | 時期(日本時間)
---|---|---
エックスサーバー | ・サービスサイトとアカウント管理画面
・新規申し込みと契約更新、支払い
・利用者のサーバー(Web サイトの表示、メール送受信)は稼働を継続 | 21日16時から、深夜〜22日未明に再開見込み
Shifter | ダッシュボードの一部機能(公開中のサイトは影響なし) | 21日15時〜22日10時
InfiniCloud | ・新規容量アップグレード
・アカウント登録 | 21日から、来週半ばに再開予定
トッピング | ・プラグインの新規ダウンロード
・問い合わせフォーム | 21日18時台の告知から、影響確認と対策の完了まで
GrowthArts | 買取フォーム | 21日16時台の告知から、修正適用の確認後に再開
#### 自社や団体のサイトを止めた組織
組織 | 止めたもの | 時期(日本時間)
---|---|---
HID-Labs | ・関連するすべての Web サイト
・新規受注 | ・サイトは21日23時までに停止
・新規受注は当日分の出荷の完了後に休止
・ホスティング事業者の修正と安全確認の後に順次再開
YASUDA | 公式サイトとオンラインストア(出荷業務は通常どおり) | 21日16時30分頃〜22日午前中(予定)
キンブル | ホームページ | 21日16時台の告知から、再開は未定
インゲージ | 自社サイト | 21日17時台の告知から、23時の修正版公開後に順次再開
Spell Fragments | 開発元のウェブサイト(ゲームのプレイには影響なし) | 21日17時台の告知から、セキュリティ更新後に再開
文学フリマ事務局 | 公式サイト(Web カタログとエントリーは継続) | 21日16時から、修正対応の完了後に再開
停止には至らない対応を告知した組織もある。
* みんなシステムズ: 保守先サービスを停止する可能性を告知。
* カゴヤ・ジャパン: 影響を調査中と告知。
* Six Apart: Movable Type のクラウド版で、修正版の公開後に PHP を更新する緊急メンテナンスを予定。
* アルファサード: ダイナミックパブリッシングや DynamicMTML を使う PowerCMS の利用者に、修正版を直ちに適用するのが難しい場合は、影響範囲が明らかになるまで対象サイトの一時停止なども検討するよう呼びかけ。
さくらインターネットは同日、レンタルサーバーの一部ホストで21日13時〜22日8時の緊急メンテナンスを告知した。作業内容は再起動を伴うシステムメンテナンスとされており、本件との関連は明らかになっていない。
### 参考情報
#### 公式セキュリティ情報
* [1] 2026年10月20日 Upcoming Critical PHP Security Release(The PHP Group、php.net ニュース)
* [2] 2026年10月20日 Upcoming Critical PHP Security Release(PHP security team、php.announce)
#### 公的機関等の情報
* [3] 2026年10月20日 Critical Vulnerabilities in PHP(CERT-EU)
* [4] 2026年10月21日 Critical vulnerabilities in PHP(ASD/ACSC)
* [5] 2026年10月21日 【事前準備のお願い】PHPのセキュリティリリース公開予定について(IPA)
* [11] 2026年10月21日 国家サイバー統括室(注意・警戒情報)の X 投稿(国家サイバー統括室)
#### セキュリティベンダ等の報告
* [6] 2026年10月20日 PHP Remote Code Execution FAQ: CVE-2026-109618 & CVE-2026-109619(watchTowr)
* [7] 2026年10月21日 Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619(Sansec)
* [8] 2026年10月21日 Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)(Huntress)
* [9] 2026年10月21日 PHPの重大な脆弱性「php2shell」(CVE-2026-109618、CVE-2026-109619)の概要と対応指針(GMO Flatt Security)
#### 報道
* [10] 2026年10月20日 BleepingComputer「PHP warns admins of two critical flaws, emergency patches coming tomorrow」
* [12] 2026年10月21日 ITmedia「著名ITサービス相次いで緊急メンテへ コドモン、シャドバ、BASE、さくらのレンタルサーバなど 「PHP」脆弱性に起因か」
(日付は公開元のものを記載しているため、現地時間等でずれている可能性があります。)
### 更新履歴
* 2026年10月21日 PM 予告を受けてサービスを止めた組織の情報を追記
* 2026年10月21日 新規作成
*1:CVE番号、脆弱性の種類、当初の予定と前倒しの理由は予告に記載がない。
*2:watchTowr の FAQ は、リモートコード実行であることと PHP 5 以降に影響することを未検証の報告(原文: "unverified report")によるものとし、影響範囲、技術的な原因、修正版は開発元のアドバイザリで確認されていないと記している(出典: 6)。
*3:CERT-EU の記載は「他の漏えい情報による」(原文: "according to other leaks")とされ、CVSS 9.2 は認証不要のリモートコード実行の可能性を示すとも述べている。
*4:Sansec の記述は、漏えいしたと伝えられる攻撃ツールのスクリーンショットにあるバナー表記を根拠としている。CERT-EU の「PHP 5 以降」は、研究者の SNS 投稿を参照している。
*5:このうちコドモン、エックスサーバー、アルファポリスの告知は、停止の理由をソフトウェアの脆弱性とのみ書き、PHP を名指ししていない。ITmedia はコドモンを PHP の脆弱性の影響とみられる例に挙げ、エックスサーバーも同様の対応を取る見込みとしている(出典: 12)。アルファポリスが運営する絵本ひろばの告知は、停止の理由を PHP の脆弱性への対応としていた。
