TheoriがPHP2Shell脆弱性の再現・検証を完了、緊急対策ガイドを公開
PHPエンジン自体の欠陥「PHP2Shell」はCVSS v4.0で9.2のCritical評価。Theoriが修正版への更新と暫定緩和策を示した。
サイバーセキュリティ企業のTheoriは2026年10月22日、PHPエンジンの脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について独自の再現・検証を完了したと発表し、企業・組織向けの緊急対応ガイドを公開した。digitaltoday.co.krが報じた。
PHP2ShellはPHPエンジンそのものに存在する欠陥で、未認証のままリモートコード実行やプロセスのメモリ読み取りが可能になる。CVSS v4.0のスコアは9.2（Critical）と評価されている。
影響を受けるのはPHP 8.2.34、8.3.35、8.4.26、8.5.11およびそれ以前のバージョンに加え、サポート終了となったPHP 8.1未満の全バージョン（7.x、5.xを含む）。PHP側は修正版の8.2.35、8.3.36、8.4.27、8.5.12への更新を推奨している。
更新が難しい環境向けに暫定緩和策
TheoriはPHPエンジンの即時更新が困難な環境向けに、緊急の暫定緩和策も提示した。公式のセキュリティアドバイザリ公開前にPoCのデモ映像や修正済みバイナリが流出しており、PoCの拡散が急速に進んでいる状況を踏まえた対応となる。
TheoriのAI & Cyber Researchチームに所属するシニアリサーチャーのLim Jun-o氏は、PoCが急速に広がっているとして、OSディストリビューションごとのパッチ適用状況を直ちに確認するよう呼びかけている。
よくある質問
PHP2Shellの影響を受けるPHPのバージョンは？
PHP 8.2.34、8.3.35、8.4.26、8.5.11およびそれ以前に加え、サポート終了のPHP 8.1未満（7.x、5.xを含む）が該当します。
修正版はどのバージョン？
PHPは8.2.35、8.3.36、8.4.27、8.5.12への更新を推奨しています。
すぐに更新できない場合は？
Theoriが即時更新の難しい環境向けに緊急の暫定緩和策を公開しています。