PHP 本体のリクエスト間に残る解放済み状態で未認証の遠隔コード実行（PHP2Shell・CVSS 9.8）

Critical（CVSS 9.8）に分類されるPHP Group PHP（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 未満）の脆弱性です。**PHP 本体（エンジン）で、リクエストが持つ内部状態が、その裏のメモリを解放した後も残り、同じワーカーが処理する次のリクエストがその古い状態を使ってしまう欠陥。** 解放済みメモリの使用（use-after-free）によって、メモリの読み出しや未認証の遠隔コード実行につながる。PHP の公式アドバイザリ（GHSA-6wmf-4rv5-p3rp）によれば、対象は **8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 より前の版**。 **影響範囲。** php.net の告知は、PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed を含む「Web リクエストを処理するすべての PHP」を対象に挙げ、リスクが最も高いのは mod_php としている。アプリケーションのコードに関係なく PHP 本体の欠陥なので、WordPress などアプリ側が最新でも影響を受ける。発見した Wiz は、同時に公表された CVE-2026-109618 / CVE-2026-109619 の2件を「PHP2Shell」と呼んでいる。 **評価と悪用の状況。** NVD の CVSS 3.1 は **9.8 Critical**、PHP（CNA）の CVSS 4.0 は 9.2。公式アドバイザリは管理された検証環境で mod_php に対する遠隔コード実行を確認したとするが、**実環境での悪用は報告されておらず、CISA KEV にも収載されていない**（2026-10-22 時点）。

**修正版へ上げる。** 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。PHP 8.1 以前は PHP プロジェクトの更新対象外なので、ディストリや LTS ベンダーのバックポートを使うか、サポート中の系列へ移行する。更新後は **PHP-FPM / Apache など PHP を動かしているワーカーをすべて再起動する**（古いプロセスが残ると直らない）。 **更新までの暫定策（公式・一部のみ）。** アドバイザリは、PHP 8.5 では `fatal_error_backtraces=0`、セッションのアップロード進捗を使っていなければ `session.upload_progress.enabled=0` にしてワーカーを再起動する方法を挙げる。ただし汎用の完全な回避策は無く、確実なのは更新だけとしている。 **完了条件**は、`php -v` や phpinfo で上記の修正版以上（ディストリ版はその修正パッケージ以上）であることを確認し、すべてのワーカーを再起動したこと。

PHP Group PHP（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-109619）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。