PHP2Shell脆弱性を公開、PHPに認証不要の遠隔コード実行につながる恐れ

Wiz、OpenAI、Califは、PHPランタイムに存在するメモリ安全性の脆弱性「PHP2Shell」を共同で公開した。CVE-2026-109618とCVE-2026-109619として追跡されている。dailysecu.comが報じた。

両脆弱性はCWE-824（未初期化ポインタへのアクセス）に分類され、CVSS v4.0のスコアは9.2（Critical）。認証やユーザーの操作を必要とせずに遠隔コード実行につながる可能性がある。

CVE-2026-109618は、PHPがlongjmp()を介してメモリ不足時の処理を行う仕組みに起因し、Calif、Wiz、OpenAI、Quarkslabが報告した。CVE-2026-109619は、致命的エラー時の脱出処理でグローバル状態が解放済みメモリを指したままになることに起因し、Wiz、Calif、OpenAIが報告した。

両脆弱性の攻撃複雑度はHighと評価されている。悪用には組み込みの緩和策の回避と、同一のApacheワーカー上での精密なヒープ整形が必要となるためだ。

PHP2ShellはPHP 5.4.0以降のバージョンに影響すると推定されているが、すべてのリリースが個別に検証されたわけではない。実証された5つの攻撃手法のうち3つは、アプリケーションコードより前に実行されるPHPのセッションアップロード進捗機能を遠隔からのトリガーとして利用している。

背景

dailysecu.comの記事によると、サーバーサイド言語が確認されたWebサイトの69%以上がPHPを使用している。