PHP緊急脆弱性「php2shell」パッチ今夜11時公開、その前にできる対策は……GMO系セキュリティ企業が提唱【更新】

公開 2026年10月21日 14時30分

更新 2026年10月21日 15時37分

著者

岡田有花

[ITmedia]

印刷する Googleで優先するソースとして追加

【更新】10月21日午後3時

GMO Flatt Securityがその後「session.upload_progress.enabled=0」は単体では完全な対策にならないことが判明したと発表したため、記事を修正・更新しました。

　GMOグループのサイバーセキュリティ企業GMO Flatt Securityは10月21日、PHPの重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619）について、同日午後11時（日本時間、以下同）に予定されている修正パッチ公開前に取れる対策を、公式ブログで公開した。

　独自の調査を基に、ファイルのアップロードの進ちょくをセッションに記録する機能「Session Upload Progress」が脆弱性に関係すると推定。この機能を無効化する設定（session.upload_progress.enabled=0）をしておくことが攻撃の緩和につながる可能性はあるが、攻撃自体は回避できないとみてパッチの即時適用を勧めている。

GMO Flatt Securityのブログより

　また同社によると、脆弱性を悪用できると主張するコードが、既にインターネット上に出回り始めているという。

メモリ破壊の脆弱性で、外部から任意コード実行可能に？

　脆弱性は、PHP開発プロジェクトチームが21日未明に公開。詳細は明らかにしていないが、21日午後11時に修正パッチを出す予定で、全PHPユーザーに対し、パッチをすぐに適用できるよう準備を呼び掛けている。

　セキュリティ研究者などによると、脆弱性は「php2shell」と呼ばれ、外部から任意コードを実行できるもの（RCE）とみられている。CVSS（バージョン4.0）はそれぞれ9.2（緊急）。研究者の投稿では、mod_php／php-fpm、WordPress／Laravel／Symfonyなど、さまざまな構成で攻撃が再現するという。

　同社は研究者の投稿内容から、この脆弱性を「メモリ破壊系バグ」と推定。今回の脆弱性が同社の独自調査の結果と一致していれば、PHPのSession Upload Progress機能に関わるものだとみる。

　この機能はデフォルトでオンだが、無効化しておくことで、緩和に「役に立つ可能性がある」とみている。ただ、無効化しても攻撃は依然として可能とみられ、「根本的にはパッチが必要」としている。