世界的インターネット危機、プログラミング言語「PHP」の深刻な脆弱性「php2shell」の発覚と一斉緊急メンテナンスの波

資料Xから読み解く世界 · Oct 21, 2026 · 18m

2026年10月21日（日本時間）、世界のWebサイトの約7割で使用されているプログラミング言語「PHP」において、極めて重大な2件のゼロデイ脆弱性（通称「php2shell」：CVE-2026-109618、CVE-2026-109619）が公表されました。

深刻度: 国際評価基準（CVSS v4.0）において、最高レベルの「Critical（緊急）」に該当する9.2と評価されています。

影響と脅威: 認証なしでリモートから任意のコードを実行（RCE）される恐れがあり、第三者によるサーバーの乗っ取り、個人情報や機密データの窃取・破壊、さらにはデータを暗号化して金銭を要求するランサムウェア攻撃などの甚大な被害につながるリスクが指摘されています。

脆弱性の技術的要因と影響範囲

本脆弱性群は、主にPHP処理系のメモリ管理や異常処理の不備に起因しています。

CVE-2026-109618（OOM時のRCE）: メモリ不足（OOM）などの異常処理時にデータ初期化が不完全なまま中断され、後続のリクエスト処理で不正データが有効なものとして誤認・参照される問題です。

CVE-2026-109619（Stale Global StateによるRCE）: メモリ解放後もワーカー内に過去の内部状態が残存し、Use After Free（メモリ解放後利用）の状態が引き起こされる問題です。

影響範囲…