# php2shell PHP脆弱性：動画サイトが知っておくべきこと

**Source:** https://vodlix.com/ja/blog/php2shell-php-vulnerability-october-2026  
**Summary:** 動画ビジネス向けphp2shell解説：2026年10月21日に修正された2つのPHP脆弱性、インストールすべきバージョン、そしてVodlixがお客様のためにどう対応したかをまとめました。  
**Published:** 2026-11-02  
**Publisher:** Vodlix

---

## Key takeaways

2026年10月21日、PHPはphp2shellを修正するために8.5.12、8.4.27、8.3.36、8.2.35をリリースしました。php2shellは、認証されていない攻撃者がPHPサーバー上でコードを実行できてしまう2つの重大な脆弱性です。Vodlixは脆弱性の公表前にパッチを適用しており、お客様が対応する必要はありませんでした。

- 動画ビジネスのいずれかの部分が自社サーバーやホスティング上でPHPを実行している場合は、今すぐ修正版に更新するか、ホスティング事業者に依頼してください。
- PHP 8.1以前はサポートが終了しているため、それらのサイトにはパッチではなくアップグレードが必要です。
- ホスティング事業者とベンダーのアドバイザリを読んでください。AWSは2026年10月21日に速報 2026-143-AWS を公開しました。
- マネージドプラットフォームでは、このような更新はプロバイダーが代わりに適用します。VodlixでPHPを使っているのはミドルウェアだけで、パッチ適用済みです。

2026年10月21日、PHPプロジェクトはPHP 8.5.12、8.4.27、8.3.36、8.2.35をリリースしました。これらのリリースは、php2shellとして知られる2つの重大な脆弱性、CVE-2026-109618とCVE-2026-109619を修正するものです。特定の条件下では、認証されていない攻撃者がPHPを実行しているサーバー上でコードを実行できてしまいます。[PHP Foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)は端的にこう述べています。PHPを使っているなら、今すぐ更新してください、と。

Vodlixは、脆弱性が公表される前に自社システムにパッチを適用しました。Vodlixのお客様が対応する必要はありませんでした。

パッチは、あなたのサーバーに適用されて初めて誰かを守ります。動画ビジネスにとって、php2shellの要点はまさにそこにあります。

## php2shellとは何か {#php2shellとは何か}

php2shellとは、PHPにおける関連する2つのリモートコード実行の脆弱性、CVE-2026-109618とCVE-2026-109619の通称です。どちらもメモリ管理とエラー処理、つまりほぼすべてのリクエストが通過するPHPの部分に存在します。PHPプロジェクトのアドバイザリはこれらを「重大」と評価しており、修正版は2026年10月21日に公開されました。

PHP FoundationとPHPプロジェクトのアドバイザリは、これらの脆弱性をCVE番号で参照しています。ベンダーやホスティング事業者のアドバイザリを検索する際は、この番号を使ってください。

### CVE-2026-109618：PHPがメモリ不足になった際のメモリ破壊 {#cve-2026-109618-phpがメモリ不足になった際のメモリ破壊}

リクエストが最悪のタイミングでPHPのmemory\_limitに達すると、PHPは部分的にしか初期化されていない内部データを残し、後でそれを有効なデータとして扱ってしまう可能性がありました。mod\_phpを使うApacheでは、認証されていないリクエストがアプリケーションコードの実行前にこれを引き起こすことができ、PHP Foundationによれば、デフォルト設定で完全なリモートコード実行が実証されました。リモートコード実行は、アプリケーションのコードパスを通じてPHP-FPMでも確認されています。

### CVE-2026-109619：前のリクエストから残った古い状態 {#cve-2026-109619-前のリクエストから残った古い状態}

誤ったタイミングで致命的エラーが発生すると、内部状態が前のリクエストに属していたメモリを指したままになる可能性がありました。その後、同じワーカー上の後続リクエストが、その解放済みメモリを使ってしまうおそれがあります。PHP Foundationによれば、報告者はmod\_phpを使うApache上の実際のアプリケーションに対するリモートコード実行を実証しました。

## php2shell脆弱性を修正するPHPのバージョンは？ {#php2shell脆弱性を修正するphpのバージョンは}

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、すべて2026年10月21日にリリースされました。[CVE-2026-109618に関するPHPプロジェクトのアドバイザリ](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w)によれば、これら4つのブランチのそれ以前のリリースはすべて影響を受けます。PHP 8.1以前を使っている場合、そのブランチ向けのパッチはありません。

| お使いのPHPブランチ | 影響を受けるバージョン | 更新先 |
| --- | --- | --- |
| 8.5 | 8.5.12未満 | 8.5.12 |
| 8.4 | 8.4.27未満 | 8.4.27 |
| 8.3 | 8.3.36未満 | 8.3.36 |
| 8.2 | 8.2.35未満 | 8.2.35 |
| 8.1以前 | サポート終了 | 8.5.12など、サポート中のブランチ |

[TechCrunch](https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet/)は、この穴が2004年リリースのPHP 5以降のすべてのPHPバージョンに存在してきたこと、そしてPHP 8.1以前はもはやサポートされていないことを報じています。それらのバージョンを使うサイトには、マイナーアップデート以上の作業が必要です。

## 誰が、いつ脆弱性を発見したのか {#誰が-いつ脆弱性を発見したのか}

セキュリティ企業Califの研究者Ryan A氏は、2026年7月30日に始まった監査の過程で、2026年8月11日に最初のリモートコード実行をPHPに報告しました。その後、WizとOpenAIがさらなる攻撃経路を報告しました。根本原因は、PHPチームが2024年に初めて気づいたメモリの問題にさかのぼります。

PHP Foundation自身の説明によると、出来事の順序は次のとおりです。

1. **2024年：**数年ぶりとなるPHPの外部セキュリティ監査の中で、コア開発者がメモリ不足の問題の最初の兆候を発見。当時は具体的な攻撃経路が見つからず、修正は停滞しました。
2. **2026年7月30日：**CalifがPatch the Planetプログラムの一環としてPHPの監査を開始。
3. **2026年8月11日：**CalifのRyan A氏が、同じ根本原因による無条件のリモートコード実行を報告。OpenAIも独自に同じ根本原因を報告。
4. **2026年8月24日：**Wizがさらなる攻撃ベクトルを報告。
5. **2026年9月18日：**OpenAIがさらなる攻撃ベクトルを報告。
6. **2026年10月21日：**PHPが修正版をリリース。

Foundationはこの空白期間について率直です。2024年以降の遅れを、セキュリティチームの意思決定プロセスとリソース不足による「構造的な失敗」と呼び、チームは働き方を変えていると述べています。

## php2shellはどれほど深刻で、インターネットはどう反応したか {#php2shellはどれほど深刻で-インターネットはどう反応したか}

PHPは至るところにあり、最悪の場合は攻撃者があなたのサーバー上でコードを実行することになるため、これは深刻です。TechCrunchは、PHPがウェブサイトの約70%を支えており、米国家安全保障局（NSA）が、すぐにパッチを適用できないサイトはオフラインにするよう勧告したと報じています。

TechCrunchはまた、この穴を通じて攻撃者がサーバーのファイルシステムやウェブアプリが使うデータベースに到達できる可能性があると報じています。10月21日の報道時点で、OpenAIは、脆弱性は攻撃者より先に研究者が発見したもので、実際の攻撃の報告はないと述べました。しかし詳細が公開された今、状況は変わります。

クラウドプロバイダーは即日対応しました。[AWSはセキュリティ速報 2026-143-AWSを公開](https://aws.amazon.com/security/security-bulletins/2026-143-aws/)し2026年10月21日付けで、両CVEの影響を受けるPHPウェブランタイム向けに「Important (requires attention)」と位置づけています。

## php2shellはストリーミングプラットフォームや動画サイトに何を意味するか {#php2shellはストリーミングプラットフォームや動画サイトに何を意味するか}

プレーヤーだけでなく、動画ビジネスの中でPHPを実行しているすべての部分を確認するということです。ストリーミングサイトは、ストアフロントであり、サインインであり、課金フローであり、多くの場合マーケティングサイトやブログでもあります。そのいずれかが、あなたまたはホスティング事業者が管理するサーバー上でPHPを実行しているなら、修正版が必要です。

ここでのセキュリティはITの課題であるだけでなく、ビジネスの課題でもあります。パッチを待つためにオフラインにした動画サイトは、停止している間、サブスクリプションもレンタルも販売できません。

WordPressはよくあるケースです。TechCrunchによれば、WordPressはこの脆弱性がWordPress固有のものではないとし、WordPressを利用するサイトはサーバーにパッチを適用し、ホスティング会社と連携する必要があると述べています。

パッチ適用は防御の一層にすぎません。[コンテンツと視聴者を守るOTTセキュリティの基本](https://vodlix.com/ja/blog/ott-security-essentials-safeguarding-your-content-and-viewers)のガイドではその他の層を、[ストリーミングプラットフォームのログインセキュリティ](https://vodlix.com/ja/features/login-security)のページでは視聴者アカウントについて解説しています。

## Vodlixはphp2shellにどう対応したか {#vodlixはphp2shellにどう対応したか}

Vodlixは、脆弱性が2026年10月21日に公表される前に、CVE-2026-109618とCVE-2026-109619に対するパッチを自社システムに適用しました。VodlixでPHPを使っているのはミドルウェアだけで、そこにパッチを適用しました。Vodlixのお客様が対応する必要はありませんでした。

Vodlixのようなマネージドプラットフォームでは、このようなセキュリティ更新はお客様に代わって適用されます。Vodlixに関するセキュリティ上の懸念を報告したい場合は、security@vodlix.comまでご連絡ください。

## 自分でPHPサイトを運用している場合はどうすべきか {#自分でphpサイトを運用している場合はどうすべきか}

運用しているすべてのPHPを修正版に更新するか、ホスティング事業者に依頼し、各プロバイダーのアドバイザリを読んでください。すぐに更新できない場合は、TechCrunchが報じたNSAのガイダンスに従い、更新できるまでサイトをオフラインにしてください。

1. **PHPを実行しているものを洗い出す。**メインサイト、WordPressサイトやブログ、ランディングページ、管理ツールを含めます。
2. **それぞれのバージョンを確認する。**上の表と照らし合わせます。
3. **更新するか、ホスティング事業者に依頼する。**8.5.12、8.4.27、8.3.36、または8.2.35に移行します。マネージドホスティングの場合は、更新日を確認してもらいます。
4. **古いブランチのアップグレードを計画する。**PHP 8.1以前はサポートが終了しており、パッチは提供されません。
5. **ベンダーのアドバイザリを読む。**まずはホスティング事業者とクラウドプロバイダーから。AWSはすでに公開しています。
6. **新しいバージョンが稼働していることを確認する。**更新後、すべてのサーバーで再度確認します。

## 次にすべきこと {#次にすべきこと}

Vodlixのお客様であれば、php2shellについて何もする必要はありません。ご質問は[Vodlixヘルプセンター](https://vodlix.com/ja/help)をご覧いただくか、[Vodlixチームにお問い合わせ](https://vodlix.com/ja/contact)ください。

このような更新を任せられるマネージドプラットフォームを検討中であれば、[Vodlixプラットフォームの機能](https://vodlix.com/ja/features)をご覧いただくか、[Vodlixのデモをリクエスト](https://vodlix.com/ja/demo)してください。

## よくある質問

**Q: php2shellとは何ですか？**

php2shellは、2つの重大なPHP脆弱性、CVE-2026-109618とCVE-2026-109619の通称です。PHP Foundationなどの公式アドバイザリはCVE番号を使っています。どちらもPHPのメモリ管理とエラー処理の脆弱性で、特定の条件下では認証されていない攻撃者がサーバー上でコードを実行できてしまいます。PHPは2026年10月21日にこれらを修正しました。

**Q: CVE-2026-109618とCVE-2026-109619を修正するPHPのバージョンは？**

PHP 8.5.12、8.4.27、8.3.36、8.2.35が両方の脆弱性を修正します。これらは2026年10月21日にリリースされました。8.5、8.4、8.3、8.2ブランチのそれ以前のリリースはすべて影響を受けます。PHP 8.1以前はサポートが終了しているため、それらのバージョンを使うサイトはサポート中のブランチに移行する必要があります。

**Q: Vodlixのお客様はphp2shellについて何かする必要がありますか？**

いいえ。VodlixでPHPを使っているのはミドルウェアだけで、Vodlixは脆弱性が2026年10月21日に公表される前にパッチを適用しました。お客様が対応する必要はありませんでした。Vodlixに関するセキュリティ上の懸念を報告したい場合は、security@vodlix.comまでご連絡いただけます。

**Q: WordPressは2026年10月のPHP脆弱性の影響を受けますか？**

WordPressはPHP上で動作するため、WordPressサイトはサーバーのPHPバージョンを通じて危険にさらされます。TechCrunchによれば、WordPressはこの脆弱性がWordPress固有のものではないとし、WordPressを利用するサイトはサーバーにパッチを適用し、ホスティング会社と連携する必要があると述べています。WordPress自体を更新しても、PHPの更新の代わりにはなりません。

**Q: php2shellは修正版が出る前に悪用されていましたか？**

TechCrunchは2026年10月21日、OpenAIによれば脆弱性は攻撃者より先に研究者が発見したもので、その時点で実際の攻撃の報告はなかったと報じました。詳細が公開された今、パッチ未適用のサーバーはより大きなリスクにさらされており、そのためNSAはパッチを適用できないサイトをオフラインにするよう勧告しました。

**Q: PHPをすぐに更新できない場合はどうすればよいですか？**

TechCrunchによれば、米国家安全保障局（NSA）は、すぐにパッチを適用できないウェブサイトは適用できるまでオフラインにすべきだと勧告しました。ホスティング事業者にPHP 8.5.12、8.4.27、8.3.36、または8.2.35をいつ適用するか確認し、そのアドバイザリと、AWSの速報 2026-143-AWSのようなクラウドプロバイダーのアドバイザリを読んでください。