PHPが緊急修正、WordPressの更新だけでは実行環境は直らない場合も

PHPプロジェクトは10月21日、ログインせずにコードを実行される可能性がある二つの脆弱性を緊急修正した。

影響は設定や実行経路によって異なり、PHPを使う全サイトが侵入されたという意味ではない。

アプリの下で動く基盤に問題がある

WordPressなどはPHPという実行環境の上で動く。PHP2Shellは、その基盤のメモリー管理とエラー処理に関する問題だ。処理に失敗した際、未完成のデータや解放済みメモリーを誤って扱う可能性がある。テーマ、プラグイン、WordPressの更新だけでPHP自体も更新されるとは限らない。

修正されたバージョンはどれか

サポート対象の各系統で最初に修正されたのは8.2.35、8.3.36、8.4.27、8.5.12。識別番号はCVE-2026-109618とCVE-2026-109619だ。配布元が古い番号のまま修正を取り込む場合もある。ホスティング事業者に、両番号の修正情報と、実際にウェブ要求を処理するPHPを確認したい。

防御サービスがあっても更新は必要

Cloudflareは顧客の通信で攻撃の試みを観測し、緩和策を配布したと説明する。攻撃通信を見つけたことは、すべての攻撃が成功した証拠ではない。同社は公表の調整にも参加しており、研究と無関係な第三者ではない。独自の観測を別の確認根拠としつつ、防御サービスがPHPの修正を代替するとは考えない。

管理者が次に確かめること

互換性を調べ、バックアップを取って修正版を適用し、関係するウェブサーバー、PHP-FPM、長時間動く処理を再起動する。端末のPHPとウェブ用PHPが異なることもある。一般の閲覧者はページを開くだけで修正状況を判断できない。今後の確認先はPHP公式勧告と事業者の変更履歴であり、本稿は個別サイトの侵入被害を検査したものではない。

一次資料と独立確認

一次資料：PHP財団による修正版、条件付きの影響、二つのCVE、公表経緯の説明: PHP Foundation · 2026-10-21

別の確認：自社顧客通信の攻撃観測と緩和。公表調整に参加しており研究と無関係ではない: Cloudflare · 2026-10-21

研究側の勧告：系統別の修正版と実行環境の更新・再起動。攻撃手順は転載しない: PHP2Shell · research advisory

ほかの言語で読む

한국어 · English · Español · 日本語 · Tiếng Việt