【10/22続報】PHP2Shellその後｜「8.5.12でも脆弱」は別件、攻撃試行と修正状況を整理

2026年10月21日23時に正式公開されたPHPのCritical脆弱性 CVE-2026-109618 / CVE-2026-109619（php2shell） について、翌22日昼までに追加情報がかなり整理されてきました。

特にSNSでは、修正版である PHP 8.5.12でも脆弱性が再現したという投稿が広まり、『パッチが不完全なのでは』という不安が出ていました。

結論から言うと、その8.5.12で確認されたdouble-freeは、今回修正された2件とは別の脆弱性についての報告です。現時点でPHP公式は、8.5.12 / 8.4.27 / 8.3.36 / 8.2.35を引き続き修正版として案内しており、再修正版は発表していません。

この記事は2026年10月22日12時台時点の情報です。昨日23時時点の正式公開内容は、前回の記事で整理しています。

先に結論

10月22日昼時点では、次のように整理できます。

PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35は現在も公式修正版
『8.5.12でもdouble-freeが出た』という報告は今回の2件とは別件
8.5.13などの緊急再修正版は、この記事公開時点では発表されていない
php2shellを狙った攻撃試行そのものは既に複数社が観測
一方で、観測された試行すべてが成功したと確認されているわけではない
未更新環境は引き続き速やかな更新が必要

つまり、『修正版も突破されたから更新しても意味がない』という状況ではありません。むしろ現時点でも更新が最優先です。

「PHP 8.5.12でも脆弱」は今回のphp2shellとは別件

正式公開後、セキュリティ研究者Elise Boyd氏が、PHP 8.5.12上でもdouble-freeクラッシュが再現することを示す投稿を行いました。

これだけを見ると、CVE-2026-109618 / CVE-2026-109619の修正を回避できたようにも見えます。実際にSNSでは『公式パッチが不完全ではないか』という形で広まりました。

しかし本人はその後、自分が確認した別の脆弱性についての投稿であり、今回パッチされた2件についてではないと補足しています。

また、公開されている情報では、確認されたのはローカルのPHP CLI環境でのdouble-freeクラッシュであり、今回のphp2shell修正版をWeb経由で突破してRCEまで成立させたことを示すものではありません。

したがって現時点では、

PHP 8.5.12で別のメモリ破壊問題が報告されている

ことと、

php2shellのパッチが突破された

ことは分けて考える必要があります。

PHP公式の修正版は変わっていない

PHPプロジェクトは現在も、次のバージョンを今回の2件に対する修正版として公開しています。

PHP系統	修正版
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

PHP 8.5.12のリリース告知でも、CVE-2026-109618 / CVE-2026-109619を修正したセキュリティリリースとして案内され、完全な緩和策はなく、更新が安全な選択とされています。

10月22日昼時点で、PHP公式から『昨日の修正が不完全だった』という告知や、PHP 8.5.13などの再修正版は出ていません。

攻撃試行はすでに観測されている

パッチが有効扱いである一方、脆弱な環境を狙った通信は既に始まっています。

Cloudflareは、php2shellを狙う攻撃トラフィックを顧客環境で観測したと報告しています。さらに、攻撃者がWAFの検知を避けようとしてペイロードを変化させていることも確認したとしています。

Cloudflareは今回、リクエストだけでなくオリジンサーバーからのレスポンスまで組み合わせて攻撃成功の兆候を検知する「full transaction detection」も導入しました。Freeを含むWAF利用者にはphp2shell向けの保護が自動展開されています。

ただしCloudflare自身も、WAFは修正版PHPへの更新の代わりではないと明記しています。

SecurityWeekによると、watchTowrもセンサーへ届く実際の攻撃試行を観測していますが、同社が確認した範囲では、その時点で成功した試行は観測していないとしています。

重要なのは、

攻撃試行が始まっている
すべての試行が成功していると確認されたわけではない

を混同しないことです。

なぜ公開前からここまで騒ぎが大きくなったのか

PHP Foundationは、今回の協調開示が途中から大きく崩れた経緯を公開しています。

当初の正式公開予定は10月22日14:00 UTCでした。ところが10月20日頃からCVE番号がオンラインで流通し始め、誤った『CVSS 10.0』という情報まで広まりました。実際のCVSSは9.2です。

これを受け、PHP側は事前告知と修正版公開を1日前倒ししました。

その後、報告に関わっていたセキュリティ企業CalifがPoC動画を誤って公開し、すぐ削除したもののコピーが拡散。PHP Foundationによれば、この動画によってPoC開発が加速しました。

さらに10月21日07:41 UTC、Chainguardが協調公開より6時間以上早く、修正版を含むビルド済みイメージを公開。PHP Foundationはこれをembargoを一方的に破ったものとして批判しています。

修正差分を解析されれば脆弱性の仕組みを逆算できるため、公開前にパッチが見えること自体が攻撃者へ重要な手掛かりを与える可能性があります。

公式公開時点では機能する攻撃コードを確認できていなかった

PHP Foundationは、リーク後に出回ったPoCを監視・検証したものの、正式公開時点では機能する攻撃コードを確認できていなかったと説明しています。

ただし正式公開後は修正コードや詳細なAdvisoryが公開されるため、攻撃側の解析も進みます。現在攻撃試行が観測されていることを考えても、未更新環境を長期間インターネットへ公開し続けるべき状況ではありません。

ホスティングやPHP配布側の対応も進んでいる

一晩で主要な配布・ホスティング環境にも修正版が広がっています。

cPanel / EasyApache 4

cPanelは、PHP 7.4〜8.5について修正版パッケージを案内しています。サポート中のPHPについてはPHP公式の修正版へ、古い系統についてはバックポートを含む提供形態になっています。

Heroku

HerokuはPHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12を提供し、再デプロイで修正版を取得するよう案内しています。PHP 8.1についてはEOLであるため、バックポート修正を施した8.1.34を用意しつつ、サポート中の系統への移行を強く推奨しています。

このように、自分でPHPを直接インストールしていない環境でも、契約中サービス側の更新方法を確認する必要があります。

WordPress利用者が今確認すること

WordPress利用者向けの基本方針は昨日から変わっていません。

WordPress.comなど完全管理型

PHP基盤はサービス側が管理します。利用者は運営からの案内を確認します。

共有レンタルサーバー

ホスティング会社の告知を確認し、必要なら管理画面から安全なPHPバージョンへ切り替えます。PHP本体へのパッチを事業者側でバックポートしている場合もあるため、単純なバージョン番号だけで判断しない方が安全です。

VPS・クラウドVM・自前サーバー

OSベンダーまたはPHP配布元のセキュリティ更新を適用し、PHP-FPMやApacheなど必要なサービスを再起動します。

Dockerを使っている場合

ホストOS側だけ更新しても、古いPHPを含んだコンテナをそのまま動かしていれば修正されません。修正済みベースイメージへ更新して再ビルド・再デプロイする必要があります。

「パッチが効かないらしいから待つ」は危険

今回の8.5.12に関する誤解で一番避けたいのが、

修正版でも問題があるらしいから、更新せず様子を見る

という判断です。

現時点で、今回の2件について公式パッチを突破したことを示す情報は確認されていません。一方で、脆弱な環境を狙う攻撃試行は既に観測されています。

そのため、PHP公式やOS・ホスティング事業者が提供する修正版を速やかに適用する方針は変わりません。

まとめ

PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35は現在も公式修正版
8.5.12で報告されたdouble-freeは、CVE-2026-109618 / 109619とは別件
php2shellのパッチ突破やRCE継続が確認されたわけではない
攻撃試行自体はCloudflareやwatchTowrなどが観測している
Cloudflare WAFは防御層として有効だが、PHP更新の代替ではない
公開前リークやPoC動画、embargo破りで攻撃側の解析時間が増えた
cPanel、Herokuなどでも修正版の展開が進んでいる
未更新環境は引き続き速やかに更新する

今後、PHP公式が追加修正版を発表したり、修正版を対象とした実際のRCEが確認された場合には状況が変わるため、一次情報を継続して確認してください。