本文へ移動istheinternetok
すべての事案

脆弱性·重大

PHP2Shell：PHP の重大な脆弱性が 2 件

修正ありすでに攻撃に使われていますサイト運営者に影響
PHP

あなたへの影響

一部の政府サイトが予防措置としてオフラインになりました。

多くのウェブサイトの土台である言語 PHP が、1 回のリクエストでウェブサーバーを乗っ取られる脆弱性 2 件を修正しました。複数の政府が念のためサイトを停止しました。閲覧者は何もする必要はありませんが、サイトの運営者はすぐに PHP を更新してください。

発生 2026年10月20日更新 2026年10月23日

Xに投稿

どうすればいい？

あなた
対応は不要です。政府系サイトの一部はしばらく停止している可能性があります。
ウェブサイトやアプリを運営している場合
PHP を 8.5.12、8.4.27、8.3.36、8.2.35 のいずれかに更新し（またはお使いのディストリビューションの修正済みパッケージ。CVE 番号は変更履歴で確認してください）、すべてのワーカーを再起動してください。PHP 8.1 以前には公式の修正がありません。session.upload_progress.enabled=0 のような対策は被害の可能性を減らすだけで、完全な解決策は更新だけです。

影響を受けるもの

CVE-2026-109618CVE-2026-109619深刻度スコア 9.2（10点満点）

経過

  1. 修正あり · 2026年10月23日

    Cloudflare がルールを、関連する PHP のセッションアップロード進捗の問題 CVE-2026-115560 にも拡大しました。

    Cloudflare

  2. 修正あり · 2026年10月21日

    ドイツ、フィンランド、ベルギー、オランダ、フランスなど複数の国の政府サイトが、念のため停止されました。

    Australian Associated Press

  3. 修正あり · 2026年10月21日

    PHP が 8.5.12、8.4.27、8.3.36、8.2.35 を公開し、CVE-2026-109618 と CVE-2026-109619 を修正しました。ウェブリクエストを処理するすべての PHP が対象で、Apache mod_php では特にリスクが高くなります。

    php.net

  4. 緩和済み · 2026年10月21日

    Cloudflare が UTC 03:02 から、無料プランを含むすべてのプランでこれらの脆弱性に対する WAF ルールを有効にし、詳細の流出後に顧客を狙う攻撃トラフィックが出ていると報告しました。

    Cloudflare

  5. 原因特定 · 2026年10月20日

    PHP が、CVSS v4.0 で 9.2 と評価された 2 件の脆弱性を修正する重大なセキュリティリリースを 10 月 21 日に行うと発表しました。

    php.net

情報源

関連