PHPセキュリティ延長保守サービスは、PHP 8.2.35で修正された重要度criticalの脆弱性「PHP2Shell」を、保守終了版であるPHP 5.3〜8.1の全バージョンへ移植し、2026年10月23日に緊急リリースしました。
PHP2Shellの緊急対応と脆弱性の詳細
今回修正された2件の脆弱性は、通称「PHP2Shell」と呼ばれ、重要度は共にcriticalです。細工したリクエストを送ることで、認証を経ることなくWebサーバーのワーカー権限にて任意のコードを実行される危険性があります。対象となった脆弱性は以下の通りです。
・CVE-2026-109618(GHSA-w8hw-w9fx-j79w)：メモリ不足時の処理において、破損したメモリ状態がそのまま使用される問題
・CVE-2026-109619(GHSA-6wmf-4rv5-p3rp)：前のリクエストの状態が、次のリクエスト開始前に利用されてしまう問題
PHPプロジェクトによる公式のアドバイザリではサポート継続中のPHP 8.2以降のみが対象とされていますが、エレクトロニック・サービス・イニシアチブの調査により、保守終了版のPHP 5.3〜8.1すべてに同様の脆弱性が存在することが判明しました。
リリースの概要と更新時の注意
今回の修正は、約390ファイル、1万行を超える大規模な変更となりました。コード構造が異なる古いバージョンに対しても、個別での書き直しや移植、テスト、CI検証を経て対応しています。また、メモリ上限を超えた際の動作など、一部の仕様が上流の修正に合わせて変更されています。※リリースノートを参照するには、PHPセキュリティ延長保守サービスのサブスクリプションが必要です。
エレクトロニック・サービス・イニシアチブは、全利用者に対して速やかな更新を推奨しています。なお、検証過程で見つかった関連問題に対する対策強化パッチを今週中にリリースする予定です。また、PHP本体外のPECLモジュールについても調査と対策を進めています。
PHPセキュリティ延長保守サービスについて
本サービスは、システム改修やバージョンアップが困難な環境において、保守終了版のPHPを安全に運用するためのセキュリティ修正を提供するものです。機能の変更を避け、セキュリティ修正のみを適用することで既存アプリケーションへの影響を最小限に抑えます。
対象バージョン：PHP 5.3〜8.1
対応OS：RHEL 6〜10および互換OS、Amazon Linux 1/2/2023（PHPバージョンによる）、Ubuntu、Debian、その他Linux、BSD系OS
関連リンク
https://www.es-i.jp/services/php-security-patch-service
https://www.es-i.jp/
