JPCERT/CCがPHPの注意喚起を更新。悪用の試みが相次ぎ、「入られていないか」の調べ方が示された

• JPCERT/CCが、PHPの深刻な脆弱性（CVE-2026-109618、CVE-2026-109619、通称PHP2Shell）の注意喚起を10月26日に更新した
• 悪用できると主張する実証コードが多数公開され、悪用を試みる通信の観測も相次いでいる。更新に加えて、侵害されていないかの調査を勧めている
• 別の脆弱性CVE-2026-115560も加わった。修正版が出るまでの緩和策はsession.upload_progress.enabled=0。すでに設定していれば追加の対応は要らない

更新で加わったこと

実証コードと、悪用の試み

JPCERT/CCによると、本脆弱性を悪用できると主張する実証コードが多数公開され、悪用を試みる通信を観測したという報告も相次いでいる。

一方で、実証コードで実際に任意のコードを実行できるかは、PHPのバージョンや実行環境、メモリの配置などの条件に左右され、環境に合わせた調整が要るという。ただし、今後も新しい手法や、特定の環境を狙った攻撃の開発が進む可能性がある。「うちの環境では動かないらしい」と待つのではなく、更新と侵害の調査を、というのがJPCERT/CCの勧めだ。

CVE-2026-115560と緩和策

PHPの開発元は10月23日、特定の設定とアプリケーションのコードの組み合わせで起きる脆弱性（CVE-2026-115560）を公表した。影響を受ける構成は一般的ではないとして、通常のリリースの周期で修正する方針だ。修正版が出るまでは、次の設定が勧められている。

• session.upload_progress.enabled=0 にして、すべてのワーカーを再起動する

この設定は、CVE-2026-109619の緩和策としても案内されていたもので、すでに入れていれば追加の対応は不要とされる。このサイトでも10月23日の発表を取り上げている。

対象の版（変わらず）

PHPを組み込んだ製品や、Linuxディストリビューションが配るPHPも影響を受ける可能性がある。OSや製品の提供元の情報もあわせて確かめる。

「入られていないか」の見方

JPCERT/CCは、発見者らの情報をもとに、次の点を確かめるよう勧めている。

1. 過去のHTTPの応答で、不自然に長い、または形のおかしいPHPSESSIDのCookieが設定されていないか
2. 不審なmultipart/form-data形式のリクエストが送られていないか。その前後に、PHPのメモリ上限に関するエラーやHTTP 500エラーが出ていないか
3. PHPのワーカーのプロセスが、予期せず異常終了したり、頻繁に再起動したりした跡がないか

大事な注意も添えられている。悪用の経路が複数あるため、一つの検知ルールですべては見つけられない。ログの残り方によっては跡が残らないこともある。つまり、跡が見つからなくても、入られていないとは言い切れない。

レンタルサーバーで見られる場所

ここからは筆者の補足だ。共用のレンタルサーバーでは、サーバー全体のログは見られないことが多い。それでも、多くの会社のコントロールパネルで、自分のサイトのアクセスログとエラーログは見られる（場所は会社ごとに違う）。

• エラーログ：「Allowed memory size」（メモリ上限を超えたというPHPのエラー）が、ふだんより急に増えていないか。日付ごとに数えてみる
• アクセスログ：POSTのリクエストで500が返っている行が、特定の日時に固まっていないか。送り元が同じ相手か
• ファイル：最近、見覚えのない.phpファイルが増えていないか。とくに画像のアップロード用のフォルダや、テーマ・プラグインのフォルダ
• 管理画面：WordPressなどなら、見覚えのない管理者のユーザーが増えていないか

ログを自分で読むのが難しければ、サーバー会社のサポートや制作会社に、「PHP2Shellの侵害調査の観点で、自分のサイトに不審な跡がないか」を問い合わせるのが早い。

疑わしい跡があったら

JPCERT/CCは、侵害が疑われる場合、ログなどの証拠を残したうえで、影響範囲の調査や、システムの切り離しなどの対応をするよう求めている。慌ててファイルを消したり、サーバーを初期化したりする前に、ログを保存しておくこと。相談先はこちらの記事にまとめている。

まとめ

• PHP2Shellは実証コードが多数公開され、悪用の試みが相次いでいる。成功は環境しだいだが、待たずに更新を
• 新たなCVE-2026-115560は、修正版までsession.upload_progress.enabled=0で緩和
• 侵害の調査は、おかしなPHPSESSID、multipartのリクエストとメモリエラーや500、ワーカーの異常終了を見る。跡がなくても安全とは言えない
• レンタルサーバーなら、エラーログ・アクセスログ・ファイル・管理者ユーザーを確かめ、難しければサーバー会社に相談。疑わしければログを残してから対応

外から見える情報で目安を知りたい人は、簡易PHP診断も使える。ただし、侵害されていないかまでは分からない。

出典

• JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日公開、10月26日更新）
• The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
• The PHP Group「Informational advisory: Session upload progress」（2026年10月23日）

本記事は2026年10月27日時点の情報に基づく。「レンタルサーバーで見られる場所」は筆者の補足で、サーバー会社によって見られる範囲や場所は異なる。