CVE-2026-109618 と CVE-2026-109619: PHP2Shell RCE

概要

この記事では、PHP リモートコード実行 (RCE) の脆弱性 CVE-2026-109618 および CVE-2026-109619、通称 PHP2Shell、について説明し、Cato の対応を示しています。
両方の脆弱性は、CVSS v4.0 のスコアが 9.2 (重大) です。成功した攻撃により、認証されていない攻撃者が PHP ウェブワーカーの特権でコードを実行することが可能になります。

Cato の本番環境には影響はなく、Cato 顧客を保護するために IPS 保護が公開されました。

背景と影響

2026年10月21日に、PHP開発チームがPHPコアの二つの脆弱性に対応する緊急セキュリティアップデートをリリースしました。

• CVE-2026-109618: メモリ不足の処理により、内部要求データが部分的に初期化されたままになる可能性があります。リクエストのクリーンアップ中にこの無効なデータを処理することが、RCEに繋がる可能性があります

• CVE-2026-109619: 内部状態は、以前のリクエスト後に解放されたメモリを参照する可能性があります。同じワーカーが処理する後続のリクエストで、この古い状態にアクセスでき、RCEに繋がる可能性があります

特別に作成されたウェブリクエストが、脆弱な処理パスを引き起こすことがあります。攻撃可能性は、PHP のバージョン、設定、ランタイム、およびアプリケーションの動作に依存します。

環境

PHP は、PHP-FPM、mod_php を使用した Apache、php-cgi、FrankenPHP、LiteSpeed を含む、ウェブリクエストを処理するすべての PHP 設定を潜在的なリスクとして扱うことを推奨しています。
以下のリリースには、両方の脆弱性に対する修正が含まれています。

PHP 8.1 およびそれ以前のバージョンは、PHP プロジェクトによって既にサポートされていません。ベンダーが管理するパッケージを使用している場合は、ベンダーの勧告を確認して、修正がバックポートされているか確認してください。そうでない場合は、サポートされ、パッチが適用されたリリースにアップグレードしてください。

Cato は何をしているのか？

Catoの本番環境には影響はありません。
Catoは、さらに活用可能な手法を監視し、新しい情報が得られると署名を更新する可能性があります。
Cato は、公式パッチと公表されたエクスプロイト活動の分析に基づいて IPS 署名を作成しました。 Catoは、顧客を保護するために署名を公開しました。
Catoの10月22日の評価では、Catoがセキュリティスキャン活動を観察しましたが、Cato顧客を対象としたエクスプロイト試行は観察していませんでした。

何をする必要がありますか？

両方の脆弱性に対する修正が含まれるリリースに、影響を受けた PHP インストールを即座に更新してください。 PHPがサードパーティ製品または管理サービスに含まれている場合、そのベンダーの修正ガイダンスに従ってください。
IPS署名は追加の保護層を提供しますが、影響を受けたシステムのパッチ適用を置き換えるものではありません。
すぐに修正できない場合は、PHPセキュリティアドバイザリの一時的な緩和策ガイダンスに従ってください。 PHPは、一時的な設定変更が特定の攻撃経路への露出を減らすが、完全な保護を提供するわけではないと述べています。