【2026年10月21日 23:30 更新】PHP公式より修正版がリリースされたため、内容を最新情報に更新しました。
2026年10月21日、PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619／通称「PHP2Shell」）が公表され、同日に修正版がリリースされました。本記事では、このPHPの脆弱性に関する株式会社LICの対応状況と、当社システムへの影響についてお知らせします。
PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）の概要
- 種別：リモートコード実行（RCE）。不適切な状態管理に起因するメモリ破壊（解放後使用：Use After Free 等）により、外部から任意のコードを実行される恐れがあります
- 深刻度：CVSS v4.0 で 9.2（Critical）
- 攻撃条件：認証不要のリクエストで、アプリケーションのコードが動く前に攻撃が成立しうるとされています。mod_php、PHP-FPM、php-cgi 等、Webリクエストを処理する一般的な構成が対象です
- 修正版：PHP 8.5.12／8.4.27／8.3.36／8.2.35（2026年10月21日リリース）
- サポート終了版：PHP 8.1以前は公式の修正版リリース対象外です（PHP 7.4／8.0／8.1向けにはソースビルド用の最小限のバックポートパッチが公開されています）
- 状況：攻撃コードとされるものがすでにインターネット上に出回り始めており、パッチ公開後の攻撃本格化が懸念されています
※最新の正式情報は、PHP公式サイト（php.net）の発表をご確認ください。
当社システムへの影響
当社が開発・提供している業務システムでは、PHPを一切採用しておりません。そのため、当社開発システムをご利用のお客様は、本脆弱性による直接の影響はございません。どうぞご安心ください。
なお、当社が運用・保守を承っているWordPress等のPHPを利用したWebサイトにつきましては、修正版の適用を順次進めてまいります。対象のお客様には個別にご連絡いたします。
PHPを利用したWebサイト・システムを運用中の皆さまへ
自社でPHPを利用したWebサイトやシステムを運用されている場合は、以下の点をご確認ください。
- 利用中のPHPバージョンの確認
- 修正版への早急なアップデート（OS・Linuxディストリビューション提供のパッチを含む）。PHP-FPM／Webサーバーの再起動もお忘れなく
- すぐに更新できない場合の暫定策：
session.upload_progress.enabled=0の設定、WAFによる防御など。ただし一部の攻撃経路を緩和するのみで、根本対策は修正版の適用です。すぐに修正できないシステムは、一時的な外部からのアクセス遮断もご検討ください - サポート終了版（PHP 8.1以前）を利用している場合：バックポートパッチの適用、またはサポート版への移行計画の策定
- レンタルサーバー・クラウド事業者の対応状況の確認