PHP2Shellの関連情報が更新、PHPを利用する製品やサーバーの対応確認を

2026年10月21日に公表されたPHPの重大な脆弱性「PHP2Shell」について、その後も関連情報や各社の対応状況が更新されています。

10月26日には、対象となる2件の脆弱性が米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の「Known Exploited Vulnerabilities（KEV）カタログ」に追加されました。また、国内のJVNでも10月28日にベンダー情報が更新され、PHPを組み込んだ製品への影響が確認されています。

さらに、PHP公式は10月23日、セッション機能に関連する別のリモートコード実行の問題について追加情報を公開しました。

PHPはWebサイトだけでなく、業務用ソフトウェアやセキュリティ製品などにも組み込まれています。そのため、PHPを直接管理していない企業でも、利用中の製品やサーバー環境について確認が必要です。

今回は、PHP2Shellの追加情報と、国内の関連製品・レンタルサーバー事業者の公表内容を整理し、管理者が確認しておきたいポイントを紹介します。

PHP2Shellに関する追加情報

PHP2Shellは、2026年10月21日にPHPの開発チームが公表した2件の重大な脆弱性の組み合わせです。

対象となるCVE識別番号は次のとおりです。

CVE識別番号	概要
CVE-2026-109618	メモリ不足（OOM）時の処理に関連する脆弱性
CVE-2026-109619	リクエスト処理時の内部状態の管理に関連する脆弱性

いずれも、悪用された場合に認証されていない第三者がサーバー上で任意のコードを実行する可能性があります。

PHP公式が公開した修正版は、次のとおりです。

PHPの系列	修正版
PHP 8.5系	8.5.12
PHP 8.4系	8.4.27
PHP 8.3系	8.3.36
PHP 8.2系	8.2.35

なお、PHP 8.1以前については、PHPプロジェクトによる通常のセキュリティ更新が終了している系列もあります。ただし、Linuxディストリビューションや長期サポートを提供するベンダーが修正をバックポートしている場合もあるため、バージョン番号だけで判断せず、利用環境の提供元に確認する必要があります。

今回の続報では、脆弱性そのものの説明に加え、実際の悪用情報や製品ベンダーの対応状況が更新されている点が重要です。

CISAのKEVカタログに2件の脆弱性が登録

2026年10月26日、CVE-2026-109618とCVE-2026-109619が、CISAの「Known Exploited Vulnerabilities（KEV）カタログ」に追加されました。

KEVカタログは、実際に悪用されたことが確認されている脆弱性を掲載するリストです。

単に脆弱性が見つかったという情報だけではなく、攻撃に利用された実績があるものとして、組織に優先的な対応を促す目的で運用されています。

今回の登録は、PHP2Shellについても、修正版を適用する優先度を高く考える必要があることを示しています。

KEVへの登録は日本国内の被害発生を意味しない

ここで注意したいのは、KEVへの登録と、日本国内の企業で被害が発生したことは別の情報だという点です。

IPAは2026年10月27日の更新で、2件の脆弱性がCISAのKEVカタログに登録されたことを追記しました。

同じ更新では、IPAが国内での攻撃被害事例を把握していないことも説明しています。

したがって、KEVへの登録をもって、日本国内の企業で情報漏えいやサーバー侵害が発生したと判断することはできません。

一方で、実際の悪用が確認された脆弱性として登録された以上、対象となる環境の確認と修正適用を先送りにしないことが重要です。

なお、CISAがKEVに登録した脆弱性には、米国連邦政府機関向けの対応期限が設定されます。今回の2件については2026年10月29日が期限として示されましたが、これは米国の対象機関に対する期限であり、日本国内の一般企業に同じ期限や義務が適用されるという意味ではありません。

JVNが10月28日にベンダー情報を更新

国内の脆弱性情報を確認するうえで重要なのが、JVN（Japan Vulnerability Notes）です。

JVNは、国内外の脆弱性情報や製品開発者から提供された対応状況などを公開しています。

PHP2Shellに関する情報は、次の識別番号で掲載されています。

JVNVU#99905564

2026年10月22日に公開され、10月28日に最終更新されています。

10月28日の更新履歴では、FFRIセキュリティのベンダー情報が追加・更新されました。

JVNの掲載内容では、次の2社について「該当製品あり」とされています。

• 株式会社ソリトンシステムズ
• 株式会社FFRIセキュリティ

これは、PHPの脆弱性がPHP本体を直接利用するWebサイトだけでなく、PHPを内部で利用しているソフトウェア製品にも関係することを示しています。

ただし、JVNに「該当製品あり」と掲載されていることだけで、すべての製品や利用者の環境が影響を受けるとは限りません。具体的な製品名や対象バージョン、対応方法は各社の公式情報で確認する必要があります。

関連製品の対応状況

ソリトンシステムズ：製品ごとに影響と修正版を公表

ソリトンシステムズは、2026年10月22日にPHP2Shellの影響について公式情報を公開しました。

同社の案内では、製品ごとに影響の有無と対応バージョンが示されています。

2026年10月30日時点で確認できた主な内容は次のとおりです。

製品	影響・対応状況
FileZen	V5.0.12まで影響あり。V5.0.13以降は影響なし
InfoTrace Mark II Server	V3.2.8まで影響あり。V3.2.9以降は影響なし
InfoTrace Mark II Analyzer	V3.2.7まで影響あり。V3.2.8以降は影響なし
InfoTrace Mark II Spooler	V3.2.2まで影響あり。V3.2.3以降は影響なし
NetAttest D3Manager	V5.4.17まで影響あり。V5.4.18以降は影響なし
NetAttest EPS-ap	V2.6.14まで影響あり。V2.6.15以降は影響なし
Smart eGate	V1.4.10まで影響あり。V1.4.11以降は影響なし
Soliton SecureFile	V1.4.2まで影響あり。V1.4.3以降は影響なし
Soliton SecureDesktop	V1.6.0まで影響あり。V1.6.1以降は影響なし
Soliton SecureGateway	V2.0.6まで影響あり。V2.0.7以降は影響なし

このほかにも、影響なしと公表されている製品やクラウドサービスがあります。

また、Smart eGateの修正版は10月30日にリリースされており、Soliton SecureDesktopの修正版は10月26日にリリースされています。

一方、映像コミュニケーション製品のZao Serverについては、同社の案内でアップデータを利用者の機器に適用中とされています。アップデートが完了するまで、インターネットに接続して利用している場合は、対象機器をインターネットから切り離すよう案内されています。

このように、同じ会社の製品であっても、影響の有無や対応状況は異なります。

対象製品を利用している企業は、製品名だけで判断せず、現在のバージョンとメーカーが示す対応条件を照合してください。

FFRIセキュリティ：対象製品あり、詳細はカスタマーサイトで案内

FFRIセキュリティについても、JVNでは「該当製品あり」と掲載されています。

同社の一般公開ページでは、2026年10月21日に公表されたPHPの脆弱性について、製品への影響と対応情報をカスタマーサイトに掲載したと案内しています。

ただし、カスタマーサイトの閲覧にはログインIDとパスワードが必要です。

そのため、一般公開されている情報だけでは、対象となる製品名やバージョン、利用者側で必要な対応の詳細までは確認できません。

FFRIセキュリティ製品を利用している企業は、ライセンス証明書などでカスタマーサイトのログイン情報を確認し、メーカーの案内を確認してください。

情報が見つからない場合は、販売元やサポート窓口に問い合わせることをおすすめします。

国内レンタルサーバー事業者の対応状況

PHP2Shellは、PHPを利用するサーバー環境にも関係します。

ただし、レンタルサーバーでは、PHPの実行環境を事業者側が管理している場合があります。その場合、利用者自身がPHPを更新する必要があるかどうかは、事業者の対応内容によって異なります。

ここでは、公式発表を確認できた事業者の対応を紹介します。

エックスサーバー：PHP 5.1〜8.5の対応完了を公表

エックスサーバーは、PHP2Shellへの対応として、対象サービスのサーバー環境に対策を実施したと公表しています。

対象サービスには、エックスサーバー、XServerビジネス、XServer for WordPressが含まれます。

同社の発表によると、2026年10月26日6時20分までに、PHP 5.1〜8.5のすべての対象サーバーへの対応が完了しました。

対応内容はPHPの系列によって異なります。

• PHP 8.2〜8.5：同じ系列の修正版へ更新
• PHP 5.1〜8.1：対象サーバーに修正パッチを適用

PHP 5.1〜8.1については、利用者が設定しているPHPのバージョンを変更せずに修正パッチを適用したと説明されています。

そのため、同社の対象サービスを利用している場合、今回の脆弱性への対応として、利用者が急いでPHPのバージョンを変更する必要はないと案内されています。

ただし、利用環境によって追加対応が必要になる場合は、改めて案内するとしています。

ロリポップ！：古いPHPも含めて修正を適用

ロリポップ！は、2026年10月22日にPHP2Shellへの対応を完了したと発表しました。

同社は、修正の適用が完了した後、同日13時頃に利用者のサイト表示を再開しています。

注目したいのは、PHP公式の修正版が提供されていない古いバージョンについても、同社が修正を作成・検証し、適用したと説明している点です。

PHPの実行環境を事業者側で管理しているレンタルサーバーでは、利用者が直接PHPの修正を適用できない場合があります。

今回の対応は、サービス提供側が環境を調査し、必要な修正を適用した事例といえます。

KAGOYA：プランによって対応状況が異なる

KAGOYAは、2026年10月26日にPHP2Shellへの対応状況を更新し、10月30日12時01分時点の情報を公開しています。

同社の案内では、レンタルサーバープランについて、PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系の修正版へのアップデートが完了したとされています。

一方、共用サーバー、マネージド専用サーバー、WordPress専用サーバーなどでは、緩和策を順次実施している状況です。

10月30日時点では、共用サーバーとマネージド専用サーバーの緩和策は完了、WordPress専用サーバーは10月30日から31日にかけて順次実施と案内されています。

また、同社は緩和策について、脆弱性のリスクを低減するための一時的な対応であり、根本的な対策として修正版PHPへの移行を推奨しています。

KAGOYA CLOUD VPSやFLEXなど、OSやミドルウェアを利用者自身が管理するサービスでは、PHPの利用有無や更新状況を利用者側で確認し、必要な対策を行う必要があります。

このように、同じ事業者のサービスであっても、プランや管理範囲によって対応状況が異なります。

利用中のサービス名だけで判断せず、契約プランと公式発表を照らし合わせることが大切です。

PHP公式から別の追加情報も公開

今回の続報では、PHP2Shellの2件の脆弱性とは別に、PHP公式が10月23日に公開した情報にも注意が必要です。

PHP公式は、セッションのアップロード進捗機能に関連する、別のリモートコード実行の問題について注意を促しました。

この問題には、CVE-2026-115560が割り当てられています。

CVE-2026-115560はPHP2Shellの2件とは別の問題

CVE-2026-115560は、10月21日に公開されたPHP2Shellの2件の脆弱性とは別の問題です。

PHP公式によると、影響が発生するには、次のような特殊な条件が重なる必要があります。

1. PHPの設定で、セッションのシリアライズ処理にphp_binaryまたはphp_serializeを指定している
2. アプリケーションの実行中に、ini_set()を使ってシリアライズ処理をphpへ変更する
3. セッション開始前に設定を変更し、セッションのアップロード進捗機能が有効になっている

このような設定とアプリケーションの組み合わせは一般的ではないとPHP公式は説明しています。

そのため、PHP公式は緊急のセキュリティリリースではなく、通常のリリースサイクルで対応する方針を示しています。

PHP公式が案内する暫定的な対策

PHP公式は、次回の通常のバグ修正版が公開されるまでの暫定策として、次の設定を無効にすることを推奨しています。

session.upload_progress.enabled=0

この設定は、CVE-2026-109619の緩和策としても案内されていたものです。

すでに設定を無効にしており、その状態を維持している場合は、CVE-2026-115560のために追加の対応を行う必要はないと説明されています。

また、PHP公式によると、実行中にシリアライズ処理を変更しないアプリケーションでは、この追加の攻撃経路には該当しません。

ただし、PHPの設定を変更する際は、実際に使用しているPHP実行環境やアプリケーションへの影響を確認する必要があります。共用レンタルサーバーなどでは、利用者が設定を変更できない場合もあるため、サーバー事業者や製品提供元に確認してください。

管理者が確認したい対応事項

今回の追加情報を踏まえ、企業のWeb担当者やシステム管理者は、PHP本体だけでなく、PHPを組み込んだ製品や外部サービスも確認しておきたいところです。

1. PHPを利用している環境を洗い出す

まず、自社で管理しているPHP環境を把握します。

確認したい対象は、次のとおりです。

• 自社WebサイトやWordPress
• 社内向け業務システム
• 問い合わせフォームや予約システム
• PHPを利用するCMSやWebアプリケーション
• PHPを組み込んだセキュリティ製品
• 外部ベンダーが提供する管理システム
• VPSやクラウド上で稼働しているPHP環境

自社でPHPを直接インストールしていなくても、利用中の製品にPHPが組み込まれている場合があります。

製品の仕様書やメーカーの脆弱性情報を確認し、影響の有無を把握することが重要です。

2. PHPのバージョンと修正適用状況を確認する

PHPのバージョンを確認し、修正版または提供元が案内する修正済み環境になっているかを確認します。

ただし、PHPの表示バージョンが変わっていなくても、事業者が個別に修正パッチを適用している場合があります。

そのため、バージョン番号だけで未対応と判断せず、サーバー事業者の公式発表も確認してください。

VPSや自社管理サーバーでは、PHP本体だけでなく、OSやパッケージ管理システムから提供される更新情報も確認する必要があります。

3. 製品の対応バージョンを確認する

PHPを内部で利用する製品では、メーカーが指定する対応バージョンを確認します。

確認したい情報は次のとおりです。

• 影響を受ける製品名
• 影響を受けるバージョン
• 修正版のバージョン
• アップデートの提供日
• 利用者側で必要な作業
• アップデート後に必要な再起動や設定変更
• サポート窓口からの追加案内

「修正版を公開した」と案内されていても、利用者側でアップデート作業が必要な製品があります。

メーカーの発表に「対応済み」と書かれているだけで安心せず、自社の利用環境に修正が適用されているかを確認してください。

4. PHPの更新後に動作確認を行う

PHPの更新や製品のアップデートを実施した後は、システムが正常に動作しているかを確認します。

WordPressサイトであれば、次のような項目が確認対象になります。

• トップページや主要ページが正常に表示されるか
• 管理画面へログインできるか
• 投稿や固定ページを編集・公開できるか
• 問い合わせフォームが正常に送信できるか
• 画像のアップロードができるか
• プラグインやテーマにエラーが発生していないか
• メール通知や外部サービスとの連携が正常か

特に、PHPのバージョン変更を伴う場合は、テーマやプラグインとの互換性にも注意が必要です。

5. 修正適用後も不審なアクセスがないか確認する

脆弱性への修正を適用しただけで、過去に攻撃を受けていないことまで保証されるわけではありません。

修正前に外部からアクセスできる状態だった場合は、必要に応じてアクセスログやセキュリティ製品の検知情報を確認します。

特に、次のような変化がないかを確認してください。

• 見覚えのない管理者アカウントが追加されていないか
• 不審なファイルやスクリプトが設置されていないか
• 通常とは異なるプロセスや通信が発生していないか
• 管理画面への不審なログインがないか
• サーバーの利用状況やアクセス状況に異常がないか

ただし、通常のWebアクセスログだけで侵害の有無を確実に判断することは困難です。

不審な挙動が確認された場合や、侵害の可能性を否定できない場合は、サーバー事業者や製品提供元、セキュリティ専門機関への相談を検討してください。

まとめ

PHP2Shellに関する情報は、2026年10月21日の修正版公開後も更新されています。

10月26日にはCVE-2026-109618とCVE-2026-109619がCISAのKEVカタログに登録され、10月28日にはJVNでFFRIセキュリティのベンダー情報が更新されました。

また、ソリトンシステムズは製品ごとの影響と修正版の提供状況を公表しており、レンタルサーバー事業者もサービスやプランごとに対応を進めています。

さらに、PHP公式は10月23日にCVE-2026-115560に関する追加情報を公開しました。これはPHP2Shellの2件とは別の問題であり、特殊な設定とアプリケーションの組み合わせで影響するものです。

企業のWeb担当者やシステム管理者は、PHPのバージョンだけでなく、利用中の製品やサーバー環境の対応状況も確認する必要があります。

PHPを直接管理していない場合でも、業務システムやセキュリティ製品などにPHPが組み込まれている可能性があります。

今回の続報を機会に、自社で利用しているシステムや外部サービスの管理範囲を整理し、修正適用と動作確認が完了しているかを見直しておきましょう。