脆弱性2件の修正版が公開、クラウドフレアは攻撃を試みる通信を観測
暗号資産（仮想通貨）取引所バイナンス（Binance）の共同創業者チャンポン・ジャオ（Changpeng Zhao：CZ）氏が、ウェブサイトの閲覧に普段以上の注意を払うよう10月22日にXで呼びかけた。ウェブプログラミング言語「PHP」で2件の重大な脆弱性が報告され、開発元は10月21日に修正版を公開した。しかし、一部のウェブサイトでは修正版が適用されていない可能性があるため、CZ氏は今後数日間の閲覧に注意を促している。
今回報告された脆弱性は「CVE-2026-109618」と「CVE-2026-109619」の2件で、「PHP2Shell」と呼ばれている。PHPは、主にサーバー側でウェブサイトやアプリケーションを動作させるためのプログラミング言語だ。具体的には、ウェブサイトの構築に使われるワードプレス（WordPress）や、ECサイトの構築に使われるマジェント（Magento）などにも利用されている。
これらの脆弱性が悪用された場合、攻撃者はログインなどの認証を受けずに、外部からサーバー上で不正なプログラムを実行できる可能性がある。これは「リモートコード実行（RCE）」と呼ばれ、サーバー内の情報が窃取されるほか、ウェブサイトの改ざんやサービスの停止につながるおそれがある。
さらに、攻撃者がウェブサイトを改ざんした場合、閲覧者のログイン情報の窃取など、二次的な被害につながる可能性もある。CZ氏は、脆弱性のあるウェブサイトが利用者の端末への攻撃に利用される可能性についても警告した。ただし、今回の脆弱性はPHPを使用するサーバー側の問題であり、ウェブサイトを閲覧しただけで必ず端末が攻撃されるわけではない。
CZ氏によると、脆弱性の詳細が予定より早く流出し、公開後まもなく実際の悪用が確認されたとのことだ。また、ウェブサイトのセキュリティサービスを提供するクラウドフレア（Cloudflare）も10月21日、今回の脆弱性を狙った攻撃を試みる通信を観測したと発表した。ただし、同社の発表では、攻撃によるサーバーへの侵入や情報流出が実際に発生したかどうかは明らかにされていない。
PHPの開発チームが公開した修正版は「PHP 8.5.12」「PHP 8.4.27」「PHP 8.3.36」「PHP 8.2.35」の4種類だ。開発チームは、脆弱性を完全に回避できる代替策はなく、修正版への更新が唯一の安全な対処方法だと説明している。今回の脆弱性はPHP自体に存在するため、ワードプレスなどのアプリケーションを更新するだけでは解消されない。
一方、クラウドフレアは、ウェブサイトへの不正なアクセスを検知・遮断するウェブアプリケーションファイアウォール（WAF）の保護対策を導入した。同社によると、10月21日の脆弱性の正式公開に先立ち、無料・有料プランのWAF利用者に対して保護機能を適用したとのことだ。ただし、WAFによる保護は補助的な対策であり、PHP自体の脆弱性を修正するものではない。
Call me paranoid, but be extra careful visiting ANY web site in the next few days, as some web admins are not always up-to-date with security patches. Two vulnerabilities (CVE-2026-109618 and CVE-2026-109619) reported for PHP, the web programming language, affecting servers running popular apps like WordPress and Magento, with patches released October 21, 2026 after details leaked early. Exploitation was confirmed in the wild soon after disclosure, prompting quick WAF protections and patching by IT teams, as unauthenticated attacks could turn visited sites into vectors for credential theft or device exploits. Stay SAFU!
— CZ 🔶 BNB (@cz_binance) October 21, 2026
画像：PIXTA