PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針

PHPの外部からの任意コード実行脆弱性の予告。環境を全部チェックしないと。

「PHP の Session Upload Progress 機能を無効化してください。」

“根本的な対策 2026年10月21日 23時（日本時間）のパッチ公開以後、パッチを最速で適用してください。”

CVSS9.2のRCEとか全裸で震えるレベル。デフォルトONの機能が狙われるのが一番きつい。とりあえずパッチ出るまで設定で無効化しとけっていう速報助かる

PoC出回り始めてるね。とりまsession.upload_progress.enabledオフるのが吉。あとはWAFでmultipart/form-dataのPOST取り締まりか。

RHELではrh8系でphp7.4をサポートしている https://access.redhat.com/support/policy/updates/rhel-app-streams-life-cycle とは言え、RHEL買ってるのにremi等からrpmを入れてる環境は多いので、わざわざ枝番まで調べないと影響不明なとこが多すぎる！

これ、パッチ提供元に対してDOS攻撃的になってしまわないか心配…／パッチだけか。各ディストリビューションのパッケージはどうなってるんだろう。

session.upload_progress.enabled=0が一定の効果があるらしいとのこと / 効果無しとのこと https://x.com/flatt_security/status/2112776563703824474

こわこわ ( ˘ω˘ )

23時は辛いな…。担当者大変だ

とりあえず緩和策やっといた / ダメなのか… レンサバの php のサービス、使ってるやつは .htaccess で forbidden にした。使ってないサービスは消した。ついでに perl の cgi も。

“攻撃の緩和策として、Session Upload Progress 機能の無効化が寄与します。 対策としてパッチ適用以外の選択肢が残ることになります。 特にPHPのEOLバージョンを利用している場合も、何らかの代替策が取れると見ています。”

おんぎゃあああ。suexecかかっててもローカルシェル取られたらだいたい昇格されるのがオチなので恐ろしい。

PHP の Session Upload Progress 機能ってファイルアップロードのプログレスバーとか作らない限り不要なのでとっとと無効化は必須か。

“2026年10月21日 23時（日本時間）のパッチ公開以後、パッチを最速で適用してください”

PHP使わなくなって久しいし、ちょうど今年全てのシステムをリプレイスしたところだが良かった。不正アクセスもWordPress、PHP関連のパスや環境変数調査のアタックが多いしだいぶ危険だと実感する

ありがたい。少し希望が見えてきた

PHP8.6のリリースマネージャーによるとINI設定だけでは守れない。パッチが必要とのこと https://old.reddit.com/r/PHP/comments/1xb2utu/upcoming_critical_php_security_release/phyu5mb/ ブログ記事も追記されてしました

PHPベースのCMS（WordPressとか）ECサービスを使って放置しているところが結構危ないんだろうな

ほーん。思っていたよりもずっと多くのサービスがPHPを使っていることに驚いた。