PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)

2026年10月21日にIPAから公表した「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（脚注1）の続報です。
セキュリティリリースが公表されましたので、対策の実施をご検討ください。

The PHP Groupが提供するPHPについて、メモリ不足(OOM)のエラー処理に起因する脆弱性（CVE-2026-109618）とリクエスト処理に関連する脆弱性（CVE-2026-109619）が報告されています。
これらの脆弱性を悪用された場合、遠隔の第三者によって、任意のコード実行が実行される可能性があります。

PHPは、様々なウェブアプリケーションやソフトウェア製品で利用されています。自組織で開発・利用している製品等の影響については、その製品等の開発者やサービス提供元からの情報をご確認ください。

CVE-2026-109618とCVE-2026-109619について、2026年10月26日（現地時間）、CISA（脚注2）のKEVカタログ（Known Exploited Vulnerabilities Catalog 脚注3）に、悪用された脆弱性として掲載されました。

IPAでは国内での攻撃被害の事例については把握しておりませんが、改めて本件情報をご確認のうえ、対策済みバージョンへの移行を進めるようお願いいたします。

なお、これらの脆弱性の調査に関与したWiz社によれば、PHP 5.4以降のバージョンは、これらの脆弱性のいずれかの影響を少なくとも受けるとのことです（脚注4）。

開発者が提供する情報をもとに、最新版へアップデートしてください。開発者は、本脆弱性を修正した次のバージョンをリリースしています。

公表された脆弱性対策情報（アドバイザリ）において、脆弱性の影響を受けやすい構成例や緩和的な対処方法などについて案内されています。
セキュリティリリースの対応が困難である場合には、これらの情報を踏まえつつ、対応方法について検討を実施してください。

PHP 8.1以前のバージョンは「End of life（サポート終了）」を迎えています。今回の脆弱性に対する修正プログラムが提供されないバージョンを利用している場合は、サポートが提供されているPHPへの更新や、対策済みの製品・サービスへの移行を検討してください。

更新や移行が完了するまで、脆弱な状態での運用を放置せず、利用環境に応じた暫定対策やアクセス制限を検討してください。有効な暫定対策を講じることが難しい場合は、攻撃を受けた際の被害や業務への影響を踏まえ、外部からのアクセス遮断やサービスの一時停止が必要か判断してください。

PHPを利用したウェブサイト等のシステムが現在も果たしている役割や利用状況、他のシステム・サービスで代替できる可能性を確認し、運用を継続する必要性や提供方法を見直してください。
PHPなどを長期間更新していないシステムでは、更新に伴うアプリケーションの改修や動作確認が必要となるほか、開発時の資料・ノウハウの不足、担当者の不在、保守契約の終了などにより、対策が難しくなっている場合があります。

システム管理担当者だけでなく、事業責任者や経営層も含め、更新・移行の実施と、その後の継続的な維持管理に必要な人員・予算・保守体制を確保できるか検討してください。

対応後の維持管理体制を確保できる見通しがある場合は、更新や対策済みの製品・サービスへの移行を進めてください。
体制を確保する見通しが立たない場合は、現行システムの継続を前提とせず、保守を受けられる製品・サービスへの移行、提供機能の縮小、公開の終了やシステムの廃止も含めて検討してください。

更新・移行や廃止にあたっては、利用者や業務への影響を考慮し、必要なデータの移行・保存や、代替手段の案内などを計画してください。