FatLeon を購入

ブログ

あなた自身のストアを、あなたの AWS アカウントで。

重大な PHP の欠陥：知っておくべきこと

10/23/202629 回閲覧
securityphp

PHP2Shell、CVE-2026-109618 と CVE-2026-109619 は、未修正の PHP ワーカー上でログインなしにコードを実行できます。修正版は 8.5.12、8.4.27、8.3.36、8.2.35 です。

最終更新日：2026年10月23日

PHP の二つの重大な欠陥、CVE-2026-109618 と CVE-2026-109619 は PHP2Shell と呼ばれます。遠隔の呼び出し元は、ログインせずに、影響を受ける PHP ワーカー上でコードを実行できます。

PHP はウェブで広く使われるサーバー側の言語で、サーバー側言語が判明しているサイトの約 70% と見積もられることが多いです。オンラインストア、企業サイト、WordPress が含まれます。実際に及ぶのはそのサイトと、その PHP プロセスが読めるファイルであり、インターネット上のすべての機械を開く鍵ではありません。

影響範囲を短く説明した動画です。

1. 何が起きたか

PHP プロジェクトは 2026 年 10 月 21 日に緊急リリースを出しました。協調的な公開は 10 月 22 日を予定していましたが、詳細が先に広まったため、修正が前倒しになりました。

どちらもリクエスト処理の中にあります。一つは、PHP がリクエストを組み立てている途中でメモリが尽き、その後の後始末が未完成の状態に触れる場合です。もう一つは、致命的エラーが後始末を中断し、古くなったポインタが残る場合です。攻撃者にサイトのアカウントは不要です。

PHP プロジェクトは、Apache と mod_php の組み合わせを最もリスクが高い配備と見ています。PHP-FPM、php-cgi、FrankenPHP、LiteSpeed も影響を受けます。安定して悪用できるかはプロセスの配置によりますが、認証なしのコード実行が、各社が修正している問題です。

2. 更新するバージョン

完全な修正は、修正済みの PHP へ上げることです。上げたあと PHP ワーカーを再起動し、トラフィックを処理しているバイナリを新しいものにしてください。

  • PHP 8.5：8.5.12 で修正。影響を受けるのは 8.5.0 から 8.5.11。
  • PHP 8.4：8.4.27 で修正。影響を受けるのは 8.4.0 から 8.4.26。
  • PHP 8.3：8.3.36 で修正。影響を受けるのは 8.3.0 から 8.3.35。
  • PHP 8.2：8.2.35 で修正。影響を受けるのは 8.2.0 から 8.2.34。

PHP 8.1 以前、7.x、およびその系統の 5.4 以降には、CVE-2026-109618 の上流バイナリはありません。一部の Linux ベンダーは独自のパッケージを出しています。インターネットに出ているサーバーがサポート終了の PHP のままで、今日ベンダーの修正を入れられない場合は、修正済みリリースへ移せるまでそのサイトをオフラインにしてください。

AWS、Red Hat、Ubuntu はそれぞれ案内を出しています。NSA が運用者に修正を急ぐよう警告した、という報道もあります。設定変更はアップグレードの代わりになりません。

3. どのように見つかったか

OpenAI の Patch the Planet がこの対応に加わりました。Calif は GPT-5.6 Sol で欠陥の一つを特定しました。Wiz も独立して問題を報告しました。修正とリリースは PHP のメンテナーが主導しました。

詳細が先に漏れたため、当初の公開日ではなく緊急の修正になりました。詳細が公開されると、未修正サーバーの探索が始まりました。

4. 今やること

  • 8.5.12、8.4.27、8.3.36、8.2.35 へ上げるか、Linux ベンダーまたはホスティング事業者の修正パッケージを入れ、PHP を再起動する。
  • PHP が動いている場所をすべて洗い出す。店舗用に入れたバージョンだけでなく、アプライアンスや、PHP を同梱するソフトウェアも含む。
  • サーバーが PHP 8.1 以前で、ベンダーのパッケージがない場合は、移行を準備している間、公開インターネットに置いたままにしない。

PHP プラグインを積んだだけの店は、また同じ日を迎えます。修正が最初の仕事であることに変わりはありません。その次は、次の緊急事態を同じ形にしないことです。

5. FatLeon Commerce

FatLeon Commerce は専有のソースコードで、あなた自身の AWS アカウントに配備します。この店は PHP では動きません。今回の PHP リリースはこれを修正せず、この欠陥もこの中にはありません。

コードベースは一つ、ライセンスは二つです。購入は一回です。Paddle.com がマーチャント・オブ・レコードです。

ZIP 内のライセンスファイルが利用を定めます。注文の質問は info@fatleon.com へ。