PHP 本体のメモリ不足処理の欠陥で未認証の遠隔コード実行（PHP2Shell・CVSS 9.8）

Critical（CVSS 9.8）に分類されるPHP Group PHP（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 未満）の脆弱性です。**PHP 本体（エンジン）で、メモリ不足（OOM）の処理が途中で割り込むと、初期化しきれていないリクエスト用の内部データを後片付けの処理が正しいものとして扱い、未認証の遠隔コード実行につながる欠陥。** PHP の公式アドバイザリ（GHSA-w8hw-w9fx-j79w）によれば、multipart の解析経路などで、既定の入力・メモリ上限のままでも OOM を起こせる。対象は **8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 より前の版**。 **影響範囲。** php.net の告知は、PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed を含む「Web リクエストを処理するすべての PHP」を対象に挙げ、リスクが最も高いのは mod_php としている。アプリケーションのコードに関係なく PHP 本体の欠陥なので、WordPress などアプリ側が最新でも影響を受ける。発見した Wiz は、同時に公表された CVE-2026-109618 / CVE-2026-109619 の2件を「PHP2Shell」と呼んでいる。 **評価と悪用の状況。** NVD の CVSS 3.1 は **9.8 Critical**、PHP（CNA）の CVSS 4.0 は 9.2。公式アドバイザリは管理された検証環境で mod_php に対する遠隔コード実行を確認したとするが、**実環境での悪用は報告されておらず、CISA KEV にも収載されていない**（2026-10-22 時点）。

**修正版へ上げる。** 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。PHP 8.1 以前は PHP プロジェクトの更新対象外なので、ディストリや LTS ベンダーのバックポートを使うか、サポート中の系列へ移行する。更新後は **PHP-FPM / Apache など PHP を動かしているワーカーをすべて再起動する**（古いプロセスが残ると直らない）。 **更新までの暫定策（公式・不完全）。** アドバイザリは、`memory_limit=-1` を管理者側で強制してワーカーを再起動する方法を挙げるが、完全な対策にはならないと明記している。あわせて、フロント側で要求サイズや multipart の部品数・ヘッダ数を絞る、アプリが multipart を使わないならフロントで遮断する、を縮小策としている。`RLIMIT_AS` / `RLIMIT_DATA` での制限は脆弱な経路を踏むので使わない。 **完了条件**は、`php -v` や phpinfo で上記の修正版以上（ディストリ版はその修正パッケージ以上）であることを確認し、すべてのワーカーを再起動したこと。

PHP Group PHP（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-109618）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。