php2shell 脆弱性 (CVE-2026-109618、CVE-2026-109619)

運用情報の最終重要な変更: 2026年10月21日 17:25 CEST ソフトウェアリストの最終ステータス更新: 2026年10月22日 17:23 CEST TLP:CLEAR

このリポジトリには、CERT-EU が CVE-2026-109618 および CVE-2026-109619 として追跡している重大な PHP 脆弱性に関する運用情報が含まれています。

PHP は広く使用されているオープンソースのサーバーサイドスクリプト言語であるため、これらの脆弱性は、PHP を組み込んでいる、または PHP に依存している幅広いインターネット公開型の Web アプリケーションや製品に影響を与える可能性があります。

現在の状況

2026年10月21日、PHP は CVE-2026-109618 および CVE-2026-109619 に対する修正版を公開しました: PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。PHP は、両方の脆弱性が未認証のリモートコード実行を可能にする可能性があり、Web リクエストを処理するすべての PHP インストール (PHP-FPM、mod_php を使用する Apache、php-cgi、FrankenPHP、LiteSpeed を含む) がリスクにさらされると述べています。PHP は、未認証のリクエストがアプリケーションコードの実行前に悪用を引き起こす可能性がある mod_php について、リスクが最も高いと考えています。

PHP は、CVE-2026-109618 をリクエストのクリーンアップ中のメモリ不足による破損を介したリモートコード実行、CVE-2026-109619 を同じワーカー上の後続のリクエストによって再利用される、リクエストが所有する古いグローバル状態を介したリモートコード実行と説明しています。PHP 8.1 以前は PHP プロジェクトによるサポートが終了しています。ディストリビューションや LTS ベンダーがバックポートパッケージを提供する場合があり、PHP は PHP 7.4、8.0、8.1 向けの最小限のソースバックポートを公開しています。

影響は Web サイトに限定されません。PHP は、アプライアンス、ネットワーク機器、管理インターフェース、その他のベンダー製品にも組み込まれており、管理者が PHP を直接更新できない場合があります。

推奨される対応

• PHP ベースのアプリケーションとそのランタイムバージョンを特定し、インターネット公開型のシステムと Web 配信 SAPI を優先してください。
• PHP 8.5.12、8.4.27、8.3.36、8.2.35 に更新するか、ベンダー提供のバックポートパッケージを適用してください。
• サードパーティのイメージ、アプライアンス、組み込みランタイムは別途確認してください。PHP をバンドルしている製品については、ベンダーの更新が利用可能になり次第、速やかに適用してください。
• 直ちにパッチを適用できない場合は、PHP の一時的な緩和策に従ってください。これには session.upload_progress の無効化、ワーカーの再起動、公式の memory_limit、post_max_size、PHP 8.5 の fatal_error_backtraces に関するガイダンスの確認が含まれます。PHP は、これらの措置は完全な修正ではないと述べています。
• ベンダーのアドバイザリ、インターネット公開型のログ、公開されている悪用活動を監視してください。

詳細については以下を参照してください:

• CERT-EU Security Advisory 2026-018
• PHP security advisory: Critical remote code execution vulnerabilities, update now
• List of advisories from other EU national CSIRT's

リポジトリの内容

ディレクトリ	目的
detection_mitigation	脆弱性の検出および緩和に関する資料が含まれています。
software	脆弱性の影響を受ける可能性がある PHP 依存関係を持つソフトウェア製品のインベントリリストが含まれています。
tools	このリポジトリ内のファイルを使用/生成するためのツールが含まれています

このリポジトリは完全なものではなく、現在拡張中であることにご注意ください。

最新のソフトウェアステータス更新

日時	サプライヤー	製品	バージョン（ステータス参照）	ステータス CVE-2026-109618	ステータス CVE-2026-109619	備考	リンク
2026-10-22 17:23:16 +0200	Fortinet	FortiADC Manager		調査中	調査中	CVE評価: Fortinet PSIRT FG-IR-26-186 は本製品を調査中と記載。影響を受けるバージョン/修正済みバージョンは未公開 Fortinet PSIRT アドバイザリ FG-IR-26-186 は FortiADC Manager が CVE-2026-109618 および CVE-2026-109619 について調査中であると記載。	source
2026-10-22 17:23:16 +0200	Fortinet	FortiClient Cloud Services		調査中	調査中	CVE評価: Fortinet PSIRT FG-IR-26-186 は本製品を調査中と記載。影響を受けるバージョン/修正済みバージョンは未公開 Fortinet PSIRT アドバイザリ FG-IR-26-186 は FortiClient Cloud Services が CVE-2026-109618 および CVE-2026-109619 について調査中であると記載。	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS		調査中	調査中	CVE評価: Fortinet PSIRT FG-IR-26-186 は本製品を調査中と記載。影響を受けるバージョン/修正済みバージョンは未公開 Fortinet PSIRT アドバイザリ FG-IR-26-186 は FortiDDoS が CVE-2026-109618 および CVE-2026-109619 について調査中であると記載。	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS-F		調査中	調査中	CVE評価: Fortinet PSIRT FG-IR-26-186 は本製品を調査中と記載。影響を受けるバージョン/修正済みバージョンは未公開 Fortinet PSIRT アドバイザリ FG-IR-26-186 は FortiDDoS-F が CVE-2026-109618 および CVE-2026-109619 について調査中であると記載。	source
2026-10-22 17:23:16 +0200	Fortinet	FortiEndpoint		調査中	調査中	CVE評価: Fortinet PSIRT FG-IR-26-186 は本製品を調査中と記載。影響を受けるバージョン/修正済みバージョンは未公開 Fortinet PSIRT アドバイザリ FG-IR-26-186 は FortiEndpoint が CVE-2026-109618 および CVE-2026-109619 について調査中であると記載。	source

ソフトウェアステータス更新履歴の全体を参照してください。

コントリビューションを歓迎します

これらの PHP 脆弱性に関連する追加情報をお持ちの場合は、お気軽に Pull request を作成してください。初めての方は、GitHub ドキュメントのコントリビューション方法をお読みください。

ソフトウェアリストの更新について: 私たちは software/spdx/ 内の SPDX ソースファイルへの編集を受け取ることを強く希望しています。Markdown のリストページはそれらのファイルから自動生成されます。これが難しすぎる場合でもご心配なく。.md ファイルへの編集を SPDX ソースファイルにバックポートするよう努めますが、保証はできません。