2026年10月21日、PHPの開発チームが、認証なしでサーバー上のコードを実行されるおそれのある重大な脆弱性2件を修正する緊急のセキュリティリリースを公開しました。セキュリティ企業Wizはこれらを「PHP2Shell」と名付けて公表しており、WordPress、Drupal、Joomlaなどを動かすサーバーが影響を受けます。欧州では公開に先立って、一部の政府系サイトが予防的に停止されたと報じられています。
何が見つかったのか
- CVE番号は「CVE-2026-109618」と「CVE-2026-109619」の2件で、重大度は最大でCVSS 9.2とされています。
- Wizによると、この2件は4つのバグ(アップロード進捗処理のメモリ解放後使用、プロセスメモリの漏えい、エラー時バックトレースのメモリ解放後使用、OPcacheの型混同)にまたがり、ほかにも未登録の亜種があるとのことです。
- 悪用されると、認証なしのリモートコード実行や、パスワード・認証トークン・APIキーなどを含みうるメモリ内容の漏えいにつながるおそれがあります。
- Wizは、直近10年のPHPのすべてのバージョン(5.4まで遡る)が、少なくとも1つの脆弱性の影響を受けるとしています。
- 発見にはAIモデルが活用されたと説明されています。WizはWordPress、Drupal、Joomlaの最新コンテナ環境で、認証なしのコード実行を実証したとしています。
WordPressの更新では直らない
今回の問題はWordPress本体やプラグインではなく、サーバー側のPHPそのものにあります。Search Engine Journalは「WordPressやプラグインを更新しても、PHPは更新されない」と指摘しています。これまでのWordPress本体のWP2Shellとは別の話で、サーバーのPHPを直す必要があります。
修正バージョンと、運営者がやること
- 修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35と報じられています。
- PHP 7.4、8.0、8.1については、自分でビルドする場合向けの限定的な修正が提供されたものの、通常のサポートが復活するわけではないとされています。PHP 8.2のサポート終了も近いので、古いバージョンの方は移行計画を急ぎましょう。
- まず、WordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」で、現在のPHPバージョンを確認します。
- レンタルサーバーやVPSの場合は、利用中のサービスに、修正版への更新が済んでいるか(または対応するか)を問い合わせるか、管理画面の案内を確認します。ホスティング会社によっては、サーバー側で先に緩和策を入れたと案内しているところもあります(SiteGroundなど)。
- すぐに更新できない場合、記事では、サイトを一時停止して503の保守ページを表示する選択肢も挙げられています。WAFは修正の代わりにはならないとされています。
- 更新後は、見覚えのない管理者アカウントや、想定外のPHPファイルの変更、Webシェルがないかを点検します。パッチを当てても、すでに入られていた場合の侵害は消えません。
Wizは、パッチ前の兆候として、不審なマルチパートリクエストの後のメモリ上限エラーやHTTP 500の連発、異常に大きいPHPSESSIDのCookie、PHPワーカーの不自然な入れ替わりに注意するよう呼びかけています。なお、実際の攻撃での悪用状況については、今回確認した記事では触れられていません。
日本の運営者にとっては
日本のレンタルサーバーでも、PHPはサーバー側で管理されている場合がほとんどです。自分でできるのは、バージョンの確認と、サーバーの管理画面でのPHPバージョン切り替えの確認です。AIによる脆弱性発見が加速している点は、先日の記事でも取り上げました。今後もサーバーとPHPの更新情報は、こまめに確認しておきたいところです。
出典: Search Engine Journal「Critical PHP Core Security Flaws Affect Websites, Including WordPress」、Wiz Blog「PHP2Shell」、SiteGround「critical-php-vulnerabilities-october-2026」
