PHPの脆弱性「PHP2Shell」に修正パッチ、PHPファウンデーションが公開

PHPファウンデーションは水曜日、PHPに存在する2件の脆弱性「PHP2Shell」に対する修正パッチを公開した。脆弱性はCVE-2026-109618とCVE-2026-109619として識別されており、影響を受けるシステム上で認証なしの遠隔コード実行が可能になるという。TechCrunchが報じた。

PHPファウンデーションは調整された公開停止期間のもと、PHPを利用する大規模インターネット企業やウェブホスティング事業者に事前にパッチを提供していた。

パッチ公開を受け、銀行、小売店、ゲームサイト、オンラインストア、病院、一部の政府機関がシステムへの適用のためサーバーを停止したり、ウェブサイトを閉鎖したりした。各国政府も水曜日から、ウェブサイトを運営する市民や企業に対してリスクを軽減するよう呼びかけ始めた。

2件の脆弱性を発見したのはセキュリティ研究者らだ。もともと2024年に発見されていたが、当時は悪用可能とは見なされず、パッチも適用されていなかった。その後、研究者らが悪用方法を見つけ、PHPファウンデーションに通知したことで、調整された修正作業が始まった。

PHPは無償のオープンソース言語で、WordPress、Drupal、Joomla、MediaWikiなどのソフトウェアを支えている。インターネット上で公開されているウェブサイトのおよそ70%がPHPに依存しているとされる。