EOLのPHP 7.4、8.0、8.1にも異例のパッチ JPCERT/CCが警告する「php2shell」の侵害痕跡3つと緊急対策：8.2系からの移行期限は2026年12月31日まで（1/2 ページ）

JPCERT/CCは、PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）についての注意喚起を公開した。悪用されると任意のコードを実行される恐れがあり、速やかな更新と侵害調査を呼び掛けている。これに加えてPHP開発元は、2026年12月31日にサポートが終了するPHP 8.2系からの移行も推奨している。

[＠IT]

　一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は2026年10月22日、スクリプト言語「PHP」における複数の脆弱（ぜいじゃく）性（CVE-2026-109618、CVE-2026-109619）についての注意喚起を公開した。

　PHPの開発元であるThe PHP Groupが2026年10月21日（米国時間）に公表したセキュリティアドバイザリを受けたもの。悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される恐れがある。PHPは国内でも広く利用されており、JPCERT/CCは、「十分なテスト実施の上での速やかな修正済みバージョン適用」と侵害有無の調査を呼び掛けている。

Webリクエストを処理する全PHP環境が対象、特にmod_phpはリスクが最も高い

　JPCERT/CCは、今回の脆弱性（CVE-2026-109618およびCVE-2026-109619）の影響を受けるバージョンとして、以下を挙げている。

• PHP 8.5.12より前のPHP 8.5系バージョン
• PHP 8.4.27より前のPHP 8.4系バージョン
• PHP 8.3.36より前のPHP 8.3系バージョン
• PHP 8.2.35より前のPHP 8.2系バージョン

　The PHP Groupは、対象について、Webリクエストを処理する全PHP環境、FastCGIプロセスマネジャー「PHP-FPM」や、Webサーバ「Apache HTTP Server」のモジュール「mod_php」「php-cgi」、アプリケーションサーバ「FrankenPHP」、Webサーバ「LiteSpeed」などが含まれることも挙げている。特にmod_phpはリスクが最も高く、アプリ実行前に未認証リクエストだけで攻撃できる実証コード（エクスプロイト）が確認されている。

修正版のアップデートを推奨、EOLの7.4、8.0、8.1にも異例のパッチ提供

　対策としては、The PHP Groupは修正版の「PHP 8.5.12」「PHP 8.4.27」「PHP 8.3.36」「PHP 8.2.35」を公開しており、ダウンロードページからのアップデートを推奨。Linuxディストリビューションや長期サポート（LTS）ベンダーには事前にパッチが提供されているという。有志のリポジトリ「rpms.remirepo.net」には発表当日の提供がないので、公式パッケージへの切り替えか、ソースからのビルドを促している。

　深刻度を踏まえ、サポート終了済み（EOL）の「PHP 7.4」「PHP 8.0」「PHP 8.1」にも最小限のソースコードバックポートが提供された。