PHPの重大な脆弱性「php2shell」(CVE-2026-109618/CVE-2026-109619)に関する注意喚起と緊急対応のご案内
〜 他社開発のシステムも対象に、影響調査から修正版の適用、サポート終了版の移行まで支援します 〜 2026年10月21日、Webシステムで広く使われているプログラミング言語「PHP」の重大な脆弱性2件(通称:php2shell)について、修正版が公開されました。PHPで動作するWebサイトやシステムを運用されている企業・団体の皆様は、早急にご確認と対応をお願いいたします。 株式会社リッケイでは、影響調査から修正版の適用、サポート終了版からの移行まで、緊急対応のご相談を承っています。 脆弱性の概要 識別番号:CVE-2026-109618、CVE-2026-109619(通称:php2shell) 深刻度:CVSS v4.0で9.2(緊急) 影響:認証なしで、外部から任意のコードを実行される可能性があります 対象:Webリクエストを処理するPHP環境全般(PHP-FPM、Apache+mod_php、php-cgiなど) 修正版:PHP 8.5.12/8.4.27/8.3.36/8.2.35(The PHP Foundationの発表(英語)) WordPress、Laravel、CakePHP、EC-CUBEなど、PHPで構築されたWebサイトやシステムは、フレームワークやCMSの種類を問わず影響を受ける可能性があります。PHP 8.1以前(PHP 5系・7系、8.0、8.1)は公式のサポートが終了しており、PHPプロジェクトからの正式な修正版は提供されません。 現在の状況 攻撃コードはすでに公開されており、海外のセキュリティ企業からは修正版公開前の攻撃観測も報告されています。国内では国家サイバー統括室が注意喚起を行い、欧州連合のCERT-EUや米国CISAも即時の更新を呼びかけています。 推奨される対応 1. 運用中のシステムでPHPを使用しているか、またそのバージョンを確認する 2. 対象のシステムがある場合は、修正版を適用するまでの対応方針を決める。すぐに適用できない場合は、Webサイトの一時停止や監視の強化を行いながら、PHP公式の勧告(英語)に記載された方法で暫定対応する 3. 修正版を適用できるか確認し、更新の計画を立てて実施する。PHP 8.1以前など、サポートが終了したバージョンを使用している場合は、サポート対象のバージョンへの移行を計画する 4. 不正アクセスの痕跡がないか調査する 当社のお客様へ 当社が開発・保守を担当しているシステムをご利用のお客様には、担当者から個別にご連絡しています。ご不明な点やご依頼は、担当営業までお問い合わせください。 PHPで運用中のシステムをお持ちの皆様へ 当社では、今回の脆弱性について次の対応を承っています。 影響調査と修正版PHPの適用(すぐに適用できない場合は暫定対策を実施し、修正版の適用・移行まで対応) 不正アクセスの痕跡調査、パスワード・APIキーなど認証情報の更新 サポートが終了したPHPバージョンからの移行(PHP 8.2も2026年12月31日にサポートが終了します) 他社が開発したシステムや、社内で運用中のシステムにも対応します。開発元と連絡が取れない場合や、PHPのバージョンが分からない場合もご相談ください。 WordPressで構築した企業サイト・ECサイト Laravel、CakePHPなどで開発したWebアプリケーション 会員管理や予約受付などの独自の業務システム 【ご依頼後の流れ】 1. 現状確認・暫定対応のサポート、不正アクセスの痕跡確認、必要に応じた認証情報の更新 2. 対応方針と正式なお見積りのご案内 3. 修正版の適用・移行の実施と動作確認 4. 対応結果のご報告 ※秘密保持契約を締結していないお客様とは、作業の前に締結いたします。 当社には多くのPHP技術者が在籍しており、複数のシステムを並行して短期間で対応できる体制を整えています。 暫定対策による緊急対応から、サポート対象バージョンへの計画的な移行まで、状況に合わせてご提案します。 お問い合わせ […]