緊急診断 / CVE-2026-109618・CVE-2026-109619
php2shell。
修正版は出ました。御社のサーバーは、適用済みですか。
2026年10月21日、PHP に認証なしのリモートコード実行（CVSS 9.2）2件の修正版が公開されました。 大規模な被害はまだ報告されていません。しかし、攻撃がいちばん増えるのは これからです。修正版が出たことで「どこに穴があるか」が世界中に公開されたからです。
パッチが出た＝安全ではありません。 修正前後のコード差分から攻撃コードが作られ、未適用のサーバーが狙われます。 PHP 公式も Cloudflare も「更新だけが完全な解決」と明記しています。
何が起きたか（一次情報のみ）
| 修正版 | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 |
|---|---|
| 脆弱性 | CVE-2026-109618（OOM 時のメモリ破壊） CVE-2026-109619（解放済みメモリへの参照） |
| 深刻度 | CVSS v4.0 9.2（Critical）／認証なしで実行可能 |
| 影響 | PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed |
| 最高リスク | mod_php — アプリのコードが動く前に攻撃が成立 |
| 8.1 以前 | サポート終了。修正版は提供されません（要アップグレード） |
出典：PHP 公式セキュリティ勧告（2026-10-21）／ CERT-EU 2026-018
なぜ「今」なのか
Cloudflare は公開の約9時間前から WAF 保護を配備し、無料プランを含む全顧客が既定で守られています。それでも同社はこう書いています。
「WAF による保護があっても、PHP リポジトリにパッチを適用すべきです。 WAF は多層防御の追加であって、代替ではありません。」
さらに Cloudflare は、攻撃者が WAF のルールを推測してペイロードを変異させ、迂回を試みていることも観測しています。WAF は「入っているか」ではなく「効いているか」を確かめる必要があります。
当社自身の実測結果
当社が運用する4サイトを、同じ手法で実測しました。
| サイト | server | PHP 検出 | 判定 |
|---|---|---|---|
| hai-lab.pages.dev | cloudflare | なし | PHP 非稼働 |
| elderly-tips.pages.dev | cloudflare | なし | PHP 非稼働 |
| talorys.com | cloudflare | なし | PHP 非稼働 |
| ai-tools-communication.pages.dev | cloudflare | なし | PHP 非稼働 |
測定日 2026-10-21。X-Powered-By、レスポンスヘッダ、PHP 特有のパス応答、露出ファイルを確認。
バージョンが特定できない場合は「判定不能」と表示し、安全とは申しません。
診断メニュー
A. php2shell 緊急露出診断
¥19,800税別／納期30分
- PHP が動いているか（外部から実測）
- PHP バージョンの推定と、修正版との比較
- 露出している設定・バックアップファイルの検出
- 暫定策（memory_limit、アップロード制限）の現状確認
B. パッチ適用前チェック
¥39,800税別／納期1営業日
- 適用対象の洗い出し（Web サーバー・FPM プール・コンテナ単位）
- 更新手順と、更新後の動作検証手順の確認
- ロールバック手順の有無
- 権限とログの最小化状況
C. 適用後検証
¥49,800税別／納期2営業日
- 更新後にアプリが壊れていないかの確認
- 新たに生じた露出の確認
- 設定の取りこぼし（エアポケット）の検出
- 検証は別担当が実施します（作った人が採点しない）
D. WAF 迂回検証
¥29,800税別／納期1営業日
- Cloudflare WAF のルールが実際に発火しているか
- ブロックされているか、素通りしているかの切り分け
- Cloudflare が観測した迂回手法を踏まえた確認
やらないこと（正直に書きます）
- 攻撃の実行はしません。脆弱性を突く検証は行いません。
- 許可のないサイトは診断しません。ご自身が管理する、または書面で許可を得た対象のみです。
- PHP の更新作業そのものは行いません。手順の確認と検証までです。サーバー事業者・委託先との調整が必要な場合は、その整理をお手伝いします。
- 「安全になりました」とは言いません。確認できた範囲と、確認できなかった範囲を分けて報告します。
ご依頼の流れ
- ご連絡（対象サイトの URL と、管理権限の有無をお知らせください）
- 対象と範囲の確認（書面で合意します）
- 実測（A は30分、B〜D は1〜2営業日）
- 報告（確認できた事実と、確認できなかったことを分けて記載）
- 必要な場合、修正版適用後の再測定
本ページは特定の製品・サービスの購入を勧誘するものではありません。
記載の数値は PHP 公式セキュリティ勧告（2026-10-21）、CERT-EU Security Advisory 2026-018、
Cloudflare ブログ（2026-10-21）に基づきます。
当社の実測結果は 2026-10-21 時点のものであり、その後の変更を保証するものではありません。
hai_Lab ／ お問い合わせ：hohohoriririhoribanzai@gmail.com