PHPの遠隔コード実行の脆弱性PHP2Shell
PHPの2026年10月21日のアドバイザリでは、CVE-2026-109618とCVE-2026-109619はWebリクエストを処理するすべてのPHPで認証なしの遠隔コード実行を許しうる［3］。PHP Foundationによると、前日にCVE番号が出回り、PHPは公開を10月22日から10月21日〔注1〕に早めた［17］。10月23日には関連のCVE-2026-115560に、次の定例リリースまでの緩和策を勧めた［16］。
脆弱性の内容
| 項目 | CVE-2026-109618 | CVE-2026-109619 | 資料 |
|---|---|---|---|
| GHSA | GHSA-w8hw-w9fx-j79w | GHSA-6wmf-4rv5-p3rp | ［3］ |
| 仕組み | メモリ不足の処理がリクエストデータの初期化の途中でPHPを中断させ、後処理が不正なデータを有効とみなすことがある | リクエストの内部状態がメモリの解放後も残り、同じワーカーの後のリクエストがリセット前にその状態を使うことがある | ［3］ |
| CVSS v4.0（PHP） | 9.2 | 9.2 | ［1、4、5］ |
| CVSS 3.1（NVD） | 9.8 | 8.1 | ［47、48］ |
| 重大度とCVSS 3.1（Red Hat） | Important、8.1 | 同左 | ［20、21］ |
| CWE | CWE-416、CWE-755、CWE-824、CWE-1325、CWE-1419 | 同左 | ［4、5、50］ |
| 確かめられた影響 | 既定設定のmod_phpとpreforkの構成に対する、HTTP経由の認証なしのRCE | mod_phpとPHP-FPMに対する認証なしのRCE、ヒープのuse-after-free、メモリの開示 | ［4、5、7］ |
| CVE記録のクレジット | Calif.ioの研究者、Wiz（報告者）、OpenAI（発見者） | Wiz、Calif.ioの研究者、OpenAI（報告者） | ［49、50］ |
PHPはGHSA-w8hw-w9fx-j79wで、メモリ不足のエラーではlongjmp()で処理を抜けると説明した［4］。引き金はマルチパートの解析での3つ（宣言された長さが無いか使えない、部分のヘッダーの数に制限が無い、空のファイルの項目と入れ子の項目名）で、アプリに固有のものもありうる［4］。修正はlongjmp()をやめ、VMの次の安全点での遅延したソフトOOMと、より高い閾値での_exit()によるハードOOMに置き換えた［4］。
PHPのGHSA-6wmf-4rv5-p3rpによると、メモリの枯渇を含む致命的エラーは、global stateのリセットの前に処理を放棄させることがある［5］。悪用には「producer」と「consumer」のリクエストが同じワーカーに届く必要があり、確かめられた経路はPHP 8.5のfatal_error_backtracesとsession upload progressだ［5］。FPMは、nginxなどの前段がPHP_VALUEやPHP_ADMIN_VALUEを送る場合に条件付きで露出する［5］。ChangeLogでは、両方の修正を「Avoid state corruption via bailout」と記している［14］。
Wizは、複数の脆弱性をスクリプトphp2shellにまとめ、WordPress・Drupal・Joomlaの最新のコンテナイメージで認証なしのコード実行を示し、RCEに至らずにプロセスのメモリ（パスワード、トークン、APIキー）を読めることも示した［56］。Wiz Research、OpenAI Codex Security、Califの共同サイトでは、PHP2Shellはこのスクリプトの名前で、研究全体の名前でもある［57］。
発見と報告の経緯
PHP Foundationの記事では、2024年の外部監査（OSTIFが組織しQuarkslabが実施）で報告された問題を直す中で、同財団が契約するコア開発者がCVE-2026-109618のメモリ不足の問題の兆候を見つけた［17］。悪用の経路は見つからず、修正の方針で合意できないまま作業は数か月止まっては再開し、同財団はこの遅れを「構造的な失敗」と認めた［17］。OpenAIもCalifと同じ根本原因を独立に報告し、Califの報告の日から修正はPHP Foundationのセキュリティ担当の最優先の課題になった［17］。Trail of BitsもPHPを監査している［17］。
Califは、2020年の不具合報告と2024年の監査も同じ問題を見つけていたが、悪用が示されず修正されなかったとした［58］。Wizの時系列では、最初の脆弱性の発見は8月19日、PHPが報告を認めたのは9月21日だった［56］。
INTERNET Watchは、OpenAIが「Patch the Planet」の一環でCalifがGPT-5.6 Solを使って脆弱性を特定したと発表したと報じた［79］。OpenAIもブログに協調開示の記事を出した［59］。
公開前の流出と前倒し
PHPは10月20日の予告で、詳細と影響を受ける版・修正版はリリースと同時に出すとし、すべての利用者に準備を求めた［1］。詳細が公になるか悪用の証拠が出れば、早く出す権利を留保した［1］。
PHP Foundationは、協調開示は目標日の2日前まで順調だったとした［17］。出回ったCVE番号には誤ったリリースの時刻と誤ったCVSS 10.0が付いていたが、技術的な詳細は漏れなかった［17］。PHPは事前告知も前倒しし〔注2〕、ディストリビューターがまだ修正をパッケージにしていたため、すぐの公開は避けた［17］。
Huntressは、10月20日朝のHacker Newsの投稿が重大な脆弱性2件の公開が近いと主張し、そのスクリーンショットがSNSに広まったと書いている［65］。watchTowrは、修正の前に概念実証のツール「PHP2Shell」が現れ、少なくとも1社が脆弱性の1つの再現を表明したとした［62］。
PHP Foundationの記事では、概念実証が複数の標的で動く様子を映したCalifの動画は、削除後も複製がSNSで広まって概念実証の開発を早めた［17］。重要インフラ事業者の一部に10月20日23時（協定世界時）ごろから渡した緩和策の助言も、漏れたおそれがある［17］。Chainguardの公開は一方的なエンバーゴ破りだとし、攻撃者が修正をバイナリで調べられるようになったと述べた［17］。
説明の食い違い
CVE-2026-109618のPHP-FPMでの悪用を、PHPはGHSAとoss-securityで、ソースの解析では影響を受けるが完全なエクスプロイトは示されていないとした［4、6］。PHP Foundationと共同サイトは、PHP-FPMでもアプリ層のコード経路でRCEを確かめたと説明した［17、57］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Calif | Patch the Planetの一環でPHPの監査を始めた | ［17］ |
| 2026年 | Calif | メモリ不足の問題と同じ根本原因の無条件のRCEをPHPに報告した | ［17］ |
| 2026年 | Wiz | 脆弱性をPHPのセキュリティチームに報告した | ［17、56］ |
| 2026年 | - | AmazonのハニーポットMadPotの記録に悪用の試みが残った | ［60］ |
| 2026年 | PHP | セキュリティリリースを予告した（php.announceへの配信は協定世界時19時33分） | ［1、2］ |
| 2026年 | watchTowr | 流出した脆弱性を本物と確かめ、FAQを公開した | ［61］ |
| 2026年 | Calif | 概念実証の動画を誤って公開した（協定世界時20時ごろ） | ［17］ |
| 2026年 | CERT-EU | 注意喚起の初版を出した | ［52］ |
| 2026年 | Chainguard | 修正を含むビルド済みのイメージを公開した（協定世界時7時41分） | ［17］ |
| 2026年 | IPA | 「事前準備のお願い」を掲載した | ［42］ |
| 2026年 | PHP | 修正版とアドバイザリを公開した〔注3〕 | ［3］ |
| 2026年 | 英国NCSC、カナダのCCCS、CISA | 注意喚起を出した | ［51、53、54］ |
| 2026年 | IPA、JPCERT/CC、JVN | 注意喚起とJVNVU#99905564を公開した | ［43、44、45］ |
対象の製品と版
PHPは、対象にPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを含め、リスクはmod_phpで最も高いとした［3］。mod_phpには、認証なしのリクエストがアプリのコードより前に攻撃を起こせるエクスプロイトがある［3］。PHP 8.2は2026年12月31日にサポートを終える［12］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| PHP 8.5 | 8.5.12より前 | 8.5.12 | ［4、9］ |
| PHP 8.4 | 8.4.27より前 | 8.4.27 | ［4、10］ |
| PHP 8.3 | 8.3.36より前 | 8.3.36 | ［4、11］ |
| PHP 8.2 | 8.2.35より前 | 8.2.35 | ［4、12、13］ |
| PHP 8.6.0（テスト版） | RC4より前のビルド | 8.6.0 RC4 | ［15］ |
| PHP 7.4・8.0・8.1 | - | PHPのセキュリティチームの最小限のソースのバックポート | ［3］ |
| Debianのbookworm（php8.2） | - | 8.2.35-1~deb12u1（DLA-4848-1） | ［22］ |
| Debianのtrixie（php8.4） | - | 8.4.27-1~deb13u1（DSA-6574-1） | ［22］ |
| PA-Series・VM-SeriesのPAN-OS、Panorama | 影響を受ける | - | ［24］ |
| RUGGEDCOM APE1808 | PAN-OSを載せたすべての版 | - | ［25］ |
Wizは、過去10年に出たすべての版が少なくとも1件の影響を受け、5.4まで遡るとした［56］。Califも、最も古い影響の経路は5.4.0まで遡り、経路は版とSAPIで違うが既定の構成で常に悪用できると説明した［58］。watchTowrは、PHP 5も影響を受け、7.3以前には修正が無いとした［61］。
AWSの告知では、AWSのサービスは影響を受けず、PHP 5.4〜8.1には上流の修正が無く、サポートを終えた系列にはCVE-2026-109618の修正が無い［23］。Palo Alto Networksは、自社製品への悪用は把握していないとした［24］。
Google Cloudは、自社は脆弱ではないが、その上で動くPHPの利用者は影響を受けうるとし、Cloud Armorのルールで緩和策を出した［68］。
悪用の状況
PHP Foundationの記事では、PHPのセキュリティチームは流出後の概念実証を監視・検査したが、公開時に機能するエクスプロイトは確認していなかった［17］。
Amazonは、公開の4日前の試みは商用の匿名化ネットワークのIPアドレスからで、脅威アクターの活動とみられるとし、調査は少なくとも10月17日から始めるよう求めた［60］。
| 観測した組織 | 時点 | 内容 | 資料 |
|---|---|---|---|
| Cloudflare | 2026年10月21日 | 公開日より前から顧客を狙う攻撃通信を観測し、攻撃者はペイロードを変えて防御を避けようとした | ［69］ |
| Amazon | 2026年10月21日 | 協定世界時2時ごろから8時に、複数の概念実証と別の匿名化基盤からの試みを確認（成功したかは不明） | ［60］ |
| watchTowr | 2026年10月21日 | ハニーポット網で実環境の悪用を観測 | ［61］ |
| Datadog | 2026年10月21日 | 積極的な悪用の報告が複数あり、無差別のスキャンも把握 | ［67］ |
| Cisco Talos | 2026年10月21日 | 公開から数時間で試みを観測し始め、大半はスキャン | ［70］ |
| Huntress | 2026年10月21日 | 16時30分（米国東部時間）の更新で、パートナーの環境での悪用は未観測 | ［65］ |
| Tenable | 2026年10月21日 | 悪用をうたうコードは動作が未検証で、マルウェアを仕込んだものもある | ［66］ |
| Rapid7 | 2026年10月21日〜22日 | 公開の概念実証は特定のOS・版・Webサーバーの組み合わせでしかRCEを示さず、実環境の悪用は未観測（試みの報告は複数） | ［64］ |
| Sophos | 2026年10月22日〜23日 | 悪用の成功の報告を訂正し、スキャンと少数の失敗した試みだけとした | ［71］ |
| Sansec | 2026年10月22日 | 攻撃には標的の知識と条件が要り、公開のエクスプロイトは既定のPHPでは動かず、大規模な悪用は当初の予想より起きにくい | ［72］ |
Unit 42は、侵入後の活動にエージェント型AIの攻撃基盤を使う攻撃者を観測したと述べた［63］。欧州の政府機関を狙った事例では、最初の悪用から2時間以内にパスワードハッシュと多要素認証の秘密情報に到達した［63］。
ITmedia NEWSの記事では、CloudflareのCEOがXに投稿した悪用の試みの数は、公表後45分で数万件、2時間以内に数十万件、その後数百万件で、公表前の10時間は数千件だった［77］。
当局では、カナダのCCCSが積極的な悪用は確認されていないとし［54］、シンガポールのCSAは広範な悪用の試みを引き続き把握しているとした［55］。10月22日の段階でCISAは両方をKEVに加えていないと、watchTowrは書いた［61］。
JPCERT/CCと共同サイトは、侵害調査の手がかりに、異常なPHPSESSIDのCookie、不審なmultipart/form-dataのリクエストと前後のメモリ上限のエラーやHTTP 500、ワーカーの異常終了や頻繁な再起動を挙げた［44、57］。痕跡が無くても影響が無いとは言えない［44、57］。CrowdStrikeは、攻撃の応答はHTTP 200で、サーバー側の痕跡はエラーログのメモリ上限の致命的エラー1件だけだとした［73］。
修正と回避策
PHPはアドバイザリで、すべての利用者に直ちに更新するよう強く勧めた［3］。すぐに更新できない場合の措置は特定の攻撃経路への露出を減らすが環境を安全にはせず、完全な解決は更新だけだとした［3］。
- ディストリビューションとLTSベンダーの更新パッケージを確かめる（両者は事前にパッチを受け取った）［3］。
- PHP 8.1以前は、ベンダーにバックポートを問い合わせるか、サポート中の版に上げる（PHPプロジェクトの更新は無い）［3］。
- CVE-2026-109618には、memory_limit=-1をアプリが上書きできない形で設定する（下層の割り当ての失敗は、なお脆弱な経路に至りうる）［3］。
- 同じくpost_max_sizeを、アップロードが要らなければ8M、要るなら32Mにする（upload_max_filesizeはそれより小さく）［3］。
- 同じくリクエストの大きさ・項目の数・マルチパートの部分の数・ヘッダーの数・入れ子の深さをWebサーバーやプロキシで制限し、RLIMIT_AS・RLIMIT_DATAでなくコンテナやcgroupの制限を使う［3］。
- CVE-2026-109619には、session.upload_progress.enabled=0を設定して全ワーカーを再起動する（ini_set()やFPMの.user.iniには頼らない。ほかの派生は防がない）［3］。
- PHP 8.5では、fatal_error_backtraces=0にしてワーカーを再起動する（確認済みのfatal backtraceの経路だけを防ぐ）［3］。
- 初期化の前に診断を出すリクエスト単位の不正・非推奨の設定を除き、攻撃者が到達できる致命的エラーと実行時間切れを直す（診断を隠しても効かない）［3］。
GHSA-6wmf-4rv5-p3rpでは、性能が許せばpm.max_requests=1も検討するよう挙げた［5］。GMO Flatt Securityは記事の追記で、session.upload_progress.enabledを0にする策は完全ではないとした［74］。8.5.12の修正が不完全かもしれないとの指摘には、PHPのセキュリティチームのメンバーが10月22日、RCEと無関係の影響の小さい問題だと答えた［8］。
10月23日の情報提供では、CVE-2026-115560が起きるのは、設定でsession.serialize_handlerをphp_binaryかphp_serializeにし、実行時にini_set()でphpに切り替えてsession_start()を呼び、session upload progressが有効な場合だけだ［16］。CVE-2026-109619の緩和策を適用済みなら、追加の対応は要らない［16］。
PHPは公開当日の協定世界時14時18分、rpms.remirepo.netの利用者に配布元のパッケージかソースからのビルドへの切り替えを求める項目をアドバイザリから削った［19］。
当局の注意喚起
IPAは事前準備のお願いで、修正版の公開を2026年10月21日23時（日本時間）の予定とし、前倒しの可能性も示した［42］。IPA自身は悪用を確かめていない［42］。サポート終了の古いPHPを使うWebサイトも見受けられるとして、PHPの利用状況の棚卸しと準備を求めた［42］。
10月22日の注意喚起でIPAは、修正が難しければサポートの状況を確かめて暫定対策やアクセス制限を取り、被害と業務への影響を踏まえて外部からのアクセスの遮断やサービスの一時停止の要否を判断するよう求めた［43］。公開の終了やシステムの廃止の検討も、その手順に含まれる［43］。JPCERT/CCは、PHPの実行プロセスの権限で任意のコードを実行される可能性があるとして、対策の適用と侵害の有無の調査を求めた［44］。
高市早苗首相は10月21日にXへ投稿した［46］。Impress WatchとINTERNET Watchの記事では、投稿は21時55分で、PHPの使用を確かめ、23時に公開される修正パッチを可及的速やかに適用できるよう準備を求めた［78、79］。国家サイバー統括室（注意・警戒情報）もXで、首相と同じく、修正パッチの速やかな適用が難しければウェブサイト等を一時的に止めることも「リスクを低減させるための有効策の一つ」とした［78、79］。
ITmedia NEWSは、首相が10月22日にもXで、状況によってはサイトの一時停止も重要だと述べ、個人の公式サイトも止めてその日の午後までに再開したと説明したと報じた［76］。
ニッキンは、片山さつき金融担当相が10月23日の閣議後会見で、複数の金融機関の予防的なシステムの停止を、能動的な停止などの短期的な対応を要請してきた結果だとし、さらに必要な対応を求めたと報じた［82］。
国外では、CERT-EUが、更新が難しければインターネットに面したアプリを公衆網から切り離す検討を求め［52］、英国NCSCは、緩和策を適用できなければシステムをオフラインにする検討を勧めた［53］。Security NEXTは、CISAが修正をただちに適用するよう強く勧め、難しければシステムをオフラインにするよう推奨したと報じた［80］。
国内外の予防的な停止
| 区分 | 組織 | 公表日 | 公表内容 | 資料 |
|---|---|---|---|---|
| 省庁 | 財務省 | 2026年 | PHPで動くWebコンテンツなど、ホームページの一部を一時停止 | ［36］ |
| 省庁 | 文部科学省 | - | ホームページの一部のコンテンツ・サービスを一時停止 | ［37］ |
| 自治体 | 大阪市 | 2026年 | ウェブサイト等の一部を止めてパッチを適用し、ホームページの一部サービスは10月22日12時5分から24日15時15分まで緊急メンテナンス | ［39、40］ |
| 大学 | 東京外国語大学 | 2026年 | 10月21日22時30分からWebサイトの一部を止めるか制限する可能性を告知し、部局・教員個人のサイトは停止・制限を続けた | ［38］ |
| 公益財団法人 | 北九州産業学術推進機構 | 2026年 | ホームページを予防的に止め、修正版への更新の後に再開 | ［41］ |
| ホスティング | エックスサーバー | 2026年 | 10月21日16時から各種サービスサイト・管理画面等を止め、10月22日から順次再開 | ［26］ |
| ホスティング | さくらインターネット | 2026年 | 10月21日22時30分から会員関連機能などを緊急メンテナンスし、10月23日に終了 | ［27、28］ |
| ホスティング | heteml（GMOペパボ） | 2026年 | サービスサイトと一部サーバーの顧客サイトの表示を止めた（脆弱性を狙ったとみられるアクセスも確認） | ［29］ |
| ホスティング | CPI | 2026年 | サービスサイト・管理画面などを止め、10月22日にPHP 8.2・8.3・8.4にパッチを適用 | ［30］ |
| ホスティング | KAGOYA | 2026年 | レンタルサーバープランを修正版に更新し、ほかのプランには公開停止やアクセス制限の検討を求めた | ［31］ |
| ホスティング | IDCフロンティア | 2026年 | Zenlogicホスティングを10月21日22時から更新し、PHP 7.4、8.1〜8.5のサーバーは10月22日8時に再開 | ［32］ |
| Webサービス | コドモン | 2026年 | 修正版の公開前でも攻撃が成り立つおそれから10月21日に全対象サービスを止め、10月22日3時22分に職員用管理画面などを再開 | ［33］ |
| 企業 | セガ | 2026年 | 「セガ製品情報サイト」を10月21日22時55分から23日11時30分まで緊急メンテナンス | ［34］ |
| 企業 | 建設システム（KENTEM） | 2026年 | 10月21日22時から一部の製品・サービスとコーポレートサイトを止め、順次再開 | ［35］ |
ITmedia NEWS・Impress Watch・ニッキンによると、BASE・Cygames・ニコニコ・pixiv・静岡銀行・阪急電鉄なども公式サイトやWebサービスを一時的に止め［75］、DMM.comや、グランブルーファンタジー・「ウマ娘 プリティーダービー」など多くのゲームも止まり、一部の自治体もシステムの一時停止を予告し［78］、10月22日にはネットバンキングなどの一部を止める銀行・信用金庫が相次いだ［81］。銀行界では大半に影響し、三菱UFJ銀行はインターネットサービスの一部取引を止め、その日の20時にも再開していなかった［81］。
Unit 42によると、少なくとも1つの欧州の政府がWebサイトを予防のため止めた［63］。
未公表の事項
注
出典
当事者
- ［1］The PHP Group『Upcoming Critical PHP Security Release』（2026年10月20日公開）
- ［2］The PHP Group『[ANNOUNCE] Upcoming Critical PHP Security Release』（2026年10月20日公開）
- ［3］The PHP Group『Security advisory: Critical remote code execution vulnerabilities, update now』（2026年10月21日公開）
- ［4］The PHP Group『RCE via OOM corruption』（2026年10月21日公開）
- ［5］The PHP Group『RCE via stale global state』（2026年10月21日公開）
- ［6］The PHP Group『CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption』（2026年10月21日公開）
- ［7］The PHP Group『CVE-2026-109619: PHP 8.2–8.5 RCE via stale global state』（2026年10月21日公開）
- ［8］The PHP Group『Re: CVE-2026-109619: PHP 8.2–8.5 RCE via stale global state』（2026年10月22日公開）
- ［9］The PHP Group『PHP 8.5.12 Released!』（2026年10月21日公開）
- ［10］The PHP Group『PHP 8.4.27 Released!』（2026年10月21日公開）
- ［11］The PHP Group『PHP 8.3.36 Released!』（2026年10月21日公開）
- ［12］The PHP Group『PHP 8.2.35 Released!』（2026年10月21日公開）
- ［13］The PHP Group『[ANNOUNCE] PHP 8.2.35 Released!』（2026年10月21日公開）
- ［14］The PHP Group『PHP 8 ChangeLog』（2026年10月22日公開）
- ［15］The PHP Group『PHP 8.6.0 RC4 available for testing』（2026年10月21日公開）
- ［16］The PHP Group『Informational advisory: Session upload progress』（2026年10月23日公開）
- ［17］The PHP Foundation『Today's PHP Security Release, and How We're Strengthening PHP Security』（2026年10月21日公開）
- ［18］The PHP Group『[web-php] master: Announce PHP 8.4.27』（2026年10月21日公開）
- ［19］The PHP Group『[web-php] master: Remove remirepo notice』（2026年10月21日公開）
関係組織
- ［20］Red Hat, Inc.『CVE-2026-109618』（公開日不明、2026年10月25日閲覧）
- ［21］Red Hat, Inc.『CVE-2026-109619』（公開日不明、2026年10月25日閲覧）
- ［22］Debian『CVE-2026-109618』（公開日不明、2026年10月25日閲覧）
- ［23］Amazon Web Services, Inc.『PHP web runtimes (CVE-2026-109618 and CVE-2026-109619)』（公開日不明、2026年10月25日閲覧）
- ［24］Palo Alto Networks, Inc.『CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products』（2026年10月21日公開）
- ［25］Siemens AG『SSA-566512』（公開日不明、2026年10月25日閲覧）
- ［26］エックスサーバー株式会社『予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ』（2026年10月22日公開、2026年10月23日更新）
- ［27］さくらインターネット株式会社『【重要】PHPの脆弱性に関する当社の対応状況について（2026年10月23日17:30追記）』（2026年10月22日公開、2026年10月23日更新）
- ［28］さくらインターネット株式会社『PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について』（2026年10月22日公開）
- ［29］GMOペパボ株式会社『PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告（2026/10/22 18:05）』（2026年10月22日公開）
- ［30］株式会社KDDIウェブコミュニケーションズ『【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）への対応状況、およびサービスサイト・管理画面の停止・再開について』（2026年10月22日公開、2026年10月24日更新）
- ［31］カゴヤ・ジャパン株式会社『【KAGOYA】PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について』（2026年10月23日公開）
- ［32］株式会社IDCフロンティア『【ホスティング】緊急メンテナンス作業完了のお知らせ（2026年10月21日 22時00分～）』（2026年10月21日公開）
- ［33］株式会社コドモン『PHP2Shellへの対応を振り返って』（2026年10月23日公開）
- ［34］株式会社セガ『「セガ製品情報サイト」PHP脆弱性対応に伴う緊急メンテナンスの件』（2026年10月22日公開）
- ［35］株式会社建設システム『【重要】PHPの脆弱性対応に伴う一部製品およびホームページの一時停止について』（2026年10月23日公開）
- ［36］財務省『PHPの脆弱性対応に伴うWebサイト・一部コンテンツの一時停止のお知らせ』（2026年10月21日公開）
- ［37］文部科学省『PHPの脆弱性対応に伴う一部コンテンツやサービスの一時停止のお知らせ』（公開日不明、2026年10月25日閲覧）
- ［38］国立大学法人東京外国語大学『【追記】PHPの脆弱性対応に伴う本学Webサイト・一部コンテンツの一時停止（アクセス制限）の可能性について』（2026年10月21日公開、2026年10月23日更新）
- ［39］大阪市『大阪市が管理するウェブサイト等の一部停止について（令和8年10月23日15時時点）』（2026年10月23日公開）
- ［40］大阪市『大阪市ホームページ緊急メンテナンスの終了について』（2026年10月24日公開）
- ［41］公益財団法人北九州産業学術推進機構『【重要】PHPの脆弱性対応に伴うホームページの一時停止と再開について』（2026年10月23日公開）
公的機関
- ［42］独立行政法人情報処理推進機構『【事前準備のお願い】PHPのセキュリティリリース公開予定について』（2026年10月21日公開、2026年10月22日更新）
- ［43］独立行政法人情報処理推進機構『PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)』（2026年10月22日公開）
- ［44］一般社団法人JPCERTコーディネーションセンター『PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起』（2026年10月22日公開）
- ［45］一般社団法人JPCERTコーディネーションセンター、独立行政法人情報処理推進機構『JVNVU#99905564: PHPにおける複数の任意のコードが実行可能な脆弱性（CVE-2026-109618、CVE-2026-109619）』（2026年10月22日公開、2026年10月23日更新）
- ［46］高市早苗のXアカウント（@takaichi_sanae）『皆様に、今夜に対応して頂きたい大至急のお願いです。』（2026年10月21日公開、保存記録のみ） 保存記録
- ［47］National Institute of Standards and Technology『CVE-2026-109618』（2026年10月21日公開）
- ［48］National Institute of Standards and Technology『CVE-2026-109619』（2026年10月21日公開）
- ［49］CVE Program『CVE-2026-109618』（2026年10月21日公開）
- ［50］CVE Program『CVE-2026-109619』（2026年10月21日公開）
- ［51］Cybersecurity and Infrastructure Security Agency『Critical Vulnerabilities in PHP Require Immediate Patching』（2026年10月21日公開、保存記録のみ） 保存記録
- ［52］CERT-EU『Critical Vulnerabilities in PHP』（2026年10月20日公開、2026年10月23日更新）
- ［53］National Cyber Security Centre『Critical security issue affecting PHP』（2026年10月21日公開、2026年10月23日更新）
- ［54］Canadian Centre for Cyber Security『AL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619 - Update 1』（2026年10月21日公開）
- ［55］Cyber Security Agency of Singapore『Critical Vulnerabilities in PHP (PHP2Shell)』（公開日不明、2026年10月25日閲覧）
調査・観測
- ［56］Wiz, Inc.『PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet』（2026年10月21日公開）
- ［57］Wiz Research、OpenAI Codex Security、Calif『PHP2Shell — AI uncovers critical vulnerabilities in the backbone of the web』（公開日不明、2026年10月25日閲覧）
- ［58］Calif『PHP2Shell: A tale of two PHP remote vulnerabilities』（2026年10月21日公開）
- ［59］OpenAI『Patch the Planet: global response coordination as agents uncover critical vulnerabilities』（2026年10月21日公開、保存記録のみ） 保存記録
- ［60］Amazon Web Services, Inc.『Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot』（2026年10月21日公開）
- ［61］watchTowr『Frequently Asked Questions About PHP Remote Code Execution (PHP2Shell CVE-2026-109618 & CVE-2026-109619)』（2026年10月20日公開、2026年10月23日更新）
- ［62］watchTowr『PHP Remote Code Execution ("PHP2Shell" CVE-2026-109618 & CVE-2026-109619)』（2026年10月21日公開、2026年10月22日更新）
- ［63］Palo Alto Networks, Inc.『Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 23)』（2026年10月23日公開）
- ［64］Rapid7, Inc.『CVE-2026-109618 and CVE-2026-109619: Critical Unauthenticated Remote Code Execution in PHP』（2026年10月21日公開、2026年10月24日更新）
- ［65］Huntress Labs Inc.『Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)』（2026年10月20日公開）
- ［66］Tenable, Inc.『php2shell (CVE-2026-109618, CVE-2026-109619): Frequently asked questions about critical PHP remote code execution vulnerabilities』（2026年10月21日公開、2026年10月23日更新）
- ［67］Datadog, Inc.『PHP2Shell - Critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619): detection, analysis, and remediation』（2026年10月21日公開、2026年10月23日更新）
- ［68］Google LLC『Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619』（2026年10月21日公開、2026年10月23日更新）
- ［69］Cloudflare, Inc.『Cloudflare deploys protections against php2shell vulnerability』（2026年10月21日公開、2026年10月23日更新）
- ［70］Cisco Systems, Inc.『Two critical RCEs in PHP core』（2026年10月21日公開、2026年10月22日更新）
- ［71］Sophos Ltd『Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)』（2026年10月21日公開、2026年10月23日更新）
- ［72］Sansec『PHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619)』（2026年10月21日公開、2026年10月22日更新）
- ［73］CrowdStrike, Inc.『CrowdStrike Protects Customers from Threats Delivered via PHP2Shell』（公開日不明、2026年10月25日閲覧）
- ［74］GMO Flatt Security株式会社『PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針』（2026年10月21日公開、2026年10月22日更新）
報道機関
- ［75］アイティメディア株式会社『PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開 「直ちにアップデートを」』（2026年10月22日公開）
- ［76］アイティメディア株式会社『PHP脆弱性で高市総理「サイトを一時的に停止することも重要」』（2026年10月22日公開）
- ［77］アイティメディア株式会社『PHP「緊急」脆弱性悪用の試み、数百万件に CloudflareのCEOが報告』（2026年10月22日公開）
- ［78］株式会社インプレス『国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策』（2026年10月21日公開、2026年10月22日更新）
- ［79］株式会社インプレス『多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？』（2026年10月22日公開）
- ［80］Security NEXT『米当局、「PHP脆弱性」の即修正を勧告 - 困難ならオフラインに』（2026年10月22日公開）
- ［81］株式会社日本金融通信社『金融界、「PHP」欠陥でサービス停止 大半の銀行に影響 一部は復旧』（2026年10月22日公開、無料公開の範囲のみ参照）
- ［82］株式会社日本金融通信社『片山金融相、「金融機関はさらに必要な対応を」 PHP脆弱性で』（2026年10月23日公開、無料公開の範囲のみ参照）
更新記録
- 2026年10月25日16時58分：公開した。
- 2026年10月25日17時58分：表1でCVE-2026-109619のCWEを「-」から5つのCWEに、Red Hatの重大度を「Criticalより下」からImportantに改め、両件にRed HatのCVSS 3.1の値を加え、表3のUnit 42の行を「悪用の状況」の文に移した。
- 2026年10月25日20時50分：日付の表記を月日の形に改めた。
- 2026年10月26日8時32分：「国内外の予防的な停止」で、ITmedia NEWS・Impress Watch・ニッキンをそれぞれ主語にした3つの段落を、3つの記事に帰属させた1つの文と、三菱UFJ銀行の文の1つの段落にまとめた。
- 2026年10月26日17時37分：リードの公開日の変更の文で変更後の日付に月を付け、第1文の帰属の句を「アドバイザリでは」に改めた。