php2shell：2026年10月のPHP脆弱性が動画サイトに意味すること

2026年10月21日、PHPプロジェクトはPHP 8.5.12、8.4.27、8.3.36、8.2.35をリリースしました。これらのリリースは、php2shellとして知られる2つの重大な脆弱性、CVE-2026-109618とCVE-2026-109619を修正するものです。特定の条件下では、認証されていない攻撃者がPHPを実行しているサーバー上でコードを実行できてしまいます。PHP Foundationは端的にこう述べています。PHPを使っているなら、今すぐ更新してください、と。

Vodlixは、脆弱性が公表される前に自社システムにパッチを適用しました。Vodlixのお客様が対応する必要はありませんでした。

パッチは、あなたのサーバーに適用されて初めて誰かを守ります。動画ビジネスにとって、php2shellの要点はまさにそこにあります。

php2shellとは何か

php2shellとは、PHPにおける関連する2つのリモートコード実行の脆弱性、CVE-2026-109618とCVE-2026-109619の通称です。どちらもメモリ管理とエラー処理、つまりほぼすべてのリクエストが通過するPHPの部分に存在します。PHPプロジェクトのアドバイザリはこれらを「重大」と評価しており、修正版は2026年10月21日に公開されました。

PHP FoundationとPHPプロジェクトのアドバイザリは、これらの脆弱性をCVE番号で参照しています。ベンダーやホスティング事業者のアドバイザリを検索する際は、この番号を使ってください。

CVE-2026-109618：PHPがメモリ不足になった際のメモリ破壊

リクエストが最悪のタイミングでPHPのmemory_limitに達すると、PHPは部分的にしか初期化されていない内部データを残し、後でそれを有効なデータとして扱ってしまう可能性がありました。mod_phpを使うApacheでは、認証されていないリクエストがアプリケーションコードの実行前にこれを引き起こすことができ、PHP Foundationによれば、デフォルト設定で完全なリモートコード実行が実証されました。リモートコード実行は、アプリケーションのコードパスを通じてPHP-FPMでも確認されています。

CVE-2026-109619：前のリクエストから残った古い状態

誤ったタイミングで致命的エラーが発生すると、内部状態が前のリクエストに属していたメモリを指したままになる可能性がありました。その後、同じワーカー上の後続リクエストが、その解放済みメモリを使ってしまうおそれがあります。PHP Foundationによれば、報告者はmod_phpを使うApache上の実際のアプリケーションに対するリモートコード実行を実証しました。

php2shell脆弱性を修正するPHPのバージョンは？

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、すべて2026年10月21日にリリースされました。CVE-2026-109618に関するPHPプロジェクトのアドバイザリによれば、これら4つのブランチのそれ以前のリリースはすべて影響を受けます。PHP 8.1以前を使っている場合、そのブランチ向けのパッチはありません。

TechCrunchは、この穴が2004年リリースのPHP 5以降のすべてのPHPバージョンに存在してきたこと、そしてPHP 8.1以前はもはやサポートされていないことを報じています。それらのバージョンを使うサイトには、マイナーアップデート以上の作業が必要です。

誰が、いつ脆弱性を発見したのか

セキュリティ企業Califの研究者Ryan A氏は、2026年7月30日に始まった監査の過程で、2026年8月11日に最初のリモートコード実行をPHPに報告しました。その後、WizとOpenAIがさらなる攻撃経路を報告しました。根本原因は、PHPチームが2024年に初めて気づいたメモリの問題にさかのぼります。

PHP Foundation自身の説明によると、出来事の順序は次のとおりです。

1. 2024年：数年ぶりとなるPHPの外部セキュリティ監査の中で、コア開発者がメモリ不足の問題の最初の兆候を発見。当時は具体的な攻撃経路が見つからず、修正は停滞しました。

2. 2026年7月30日：CalifがPatch the Planetプログラムの一環としてPHPの監査を開始。

3. 2026年8月11日：CalifのRyan A氏が、同じ根本原因による無条件のリモートコード実行を報告。OpenAIも独自に同じ根本原因を報告。

4. 2026年8月24日：Wizがさらなる攻撃ベクトルを報告。

5. 2026年9月18日：OpenAIがさらなる攻撃ベクトルを報告。

6. 2026年10月21日：PHPが修正版をリリース。

Foundationはこの空白期間について率直です。2024年以降の遅れを、セキュリティチームの意思決定プロセスとリソース不足による「構造的な失敗」と呼び、チームは働き方を変えていると述べています。

php2shellはどれほど深刻で、インターネットはどう反応したか

PHPは至るところにあり、最悪の場合は攻撃者があなたのサーバー上でコードを実行することになるため、これは深刻です。TechCrunchは、PHPがウェブサイトの約70%を支えており、米国家安全保障局（NSA）が、すぐにパッチを適用できないサイトはオフラインにするよう勧告したと報じています。

TechCrunchはまた、この穴を通じて攻撃者がサーバーのファイルシステムやウェブアプリが使うデータベースに到達できる可能性があると報じています。10月21日の報道時点で、OpenAIは、脆弱性は攻撃者より先に研究者が発見したもので、実際の攻撃の報告はないと述べました。しかし詳細が公開された今、状況は変わります。

クラウドプロバイダーは即日対応しました。AWSはセキュリティ速報 2026-143-AWSを公開し2026年10月21日付けで、両CVEの影響を受けるPHPウェブランタイム向けに「Important (requires attention)」と位置づけています。

php2shellはストリーミングプラットフォームや動画サイトに何を意味するか

プレーヤーだけでなく、動画ビジネスの中でPHPを実行しているすべての部分を確認するということです。ストリーミングサイトは、ストアフロントであり、サインインであり、課金フローであり、多くの場合マーケティングサイトやブログでもあります。そのいずれかが、あなたまたはホスティング事業者が管理するサーバー上でPHPを実行しているなら、修正版が必要です。

ここでのセキュリティはITの課題であるだけでなく、ビジネスの課題でもあります。パッチを待つためにオフラインにした動画サイトは、停止している間、サブスクリプションもレンタルも販売できません。

WordPressはよくあるケースです。TechCrunchによれば、WordPressはこの脆弱性がWordPress固有のものではないとし、WordPressを利用するサイトはサーバーにパッチを適用し、ホスティング会社と連携する必要があると述べています。

パッチ適用は防御の一層にすぎません。コンテンツと視聴者を守るOTTセキュリティの基本のガイドではその他の層を、ストリーミングプラットフォームのログインセキュリティのページでは視聴者アカウントについて解説しています。

Vodlixはphp2shellにどう対応したか

Vodlixは、脆弱性が2026年10月21日に公表される前に、CVE-2026-109618とCVE-2026-109619に対するパッチを自社システムに適用しました。VodlixでPHPを使っているのはミドルウェアだけで、そこにパッチを適用しました。Vodlixのお客様が対応する必要はありませんでした。

Vodlixのようなマネージドプラットフォームでは、このようなセキュリティ更新はお客様に代わって適用されます。Vodlixに関するセキュリティ上の懸念を報告したい場合は、[email protected]までご連絡ください。

自分でPHPサイトを運用している場合はどうすべきか

運用しているすべてのPHPを修正版に更新するか、ホスティング事業者に依頼し、各プロバイダーのアドバイザリを読んでください。すぐに更新できない場合は、TechCrunchが報じたNSAのガイダンスに従い、更新できるまでサイトをオフラインにしてください。

1. PHPを実行しているものを洗い出す。メインサイト、WordPressサイトやブログ、ランディングページ、管理ツールを含めます。

2. それぞれのバージョンを確認する。上の表と照らし合わせます。

3. 更新するか、ホスティング事業者に依頼する。8.5.12、8.4.27、8.3.36、または8.2.35に移行します。マネージドホスティングの場合は、更新日を確認してもらいます。

4. 古いブランチのアップグレードを計画する。PHP 8.1以前はサポートが終了しており、パッチは提供されません。

5. ベンダーのアドバイザリを読む。まずはホスティング事業者とクラウドプロバイダーから。AWSはすでに公開しています。

6. 新しいバージョンが稼働していることを確認する。更新後、すべてのサーバーで再度確認します。

次にすべきこと

Vodlixのお客様であれば、php2shellについて何もする必要はありません。ご質問はVodlixヘルプセンターをご覧いただくか、Vodlixチームにお問い合わせください。

このような更新を任せられるマネージドプラットフォームを検討中であれば、Vodlixプラットフォームの機能をご覧いただくか、Vodlixのデモをリクエストしてください。