STEALIEN

緊急セキュリティ情報

PHP2Shell 脆弱性無料チェック

認証なしでリモートコード実行が可能なPHPの深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）が公開されました。 WebサイトのURLを入力するだけで、STEALIENがPHP2Shellの影響を受けるバージョンかどうかをすぐに確認します。

攻撃は行わず、サーバーが公開しているバージョン情報のみを確認します。入力したURLと結果は保存しません。

PHP2Shellとはどのような脆弱性ですか？

2件の脆弱性はいずれも、ログインやユーザー操作なしにリモートからサーバーのコマンドを実行できるため、PHPのセキュリティアドバイザリで深刻度Critical（緊急）に分類されています。

  • CriticalCVE-2026-109618

    メモリ不足（OOM）処理中の破損

    リクエスト処理中にメモリ上限に達すると、内部のリクエストデータが初期化途中の状態で残り、リクエストの後処理がそれを正常なデータとして扱うことでコード実行につながる可能性があります。大容量のmultipartリクエストで誘発できます。

  • CriticalCVE-2026-109619

    解放済みグローバル状態の再利用

    前のリクエストが残した内部状態がメモリ解放後も残り、同じワーカーが処理する次のリクエストがそれを参照することでコード実行につながる可能性があります。

アドバイザリによると、Apache mod_phpは2件の脆弱性の両方から直接影響を受け、PHP-FPM、LiteSpeed（LSAPI）、FrankenPHPも設定によっては影響を受ける可能性があります。

影響を受けるバージョンと修正バージョン

PHPバージョン脆弱なバージョン修正バージョン
PHP 8.58.5.12未満8.5.12以降
PHP 8.48.4.27未満8.4.27以降
PHP 8.38.3.36未満8.3.36以降
PHP 8.28.2.35未満8.2.35以降
PHP 8.1以前すべて修正リリースなし（サポート終了）

8.6.0はRC4から修正が含まれています。PHP 8.2は2026年12月31日にサポートが終了するため、上位バージョンへの移行もあわせてご検討ください。

バージョンチェックだけで安心できますか？

STEALIENのホワイトハッカーがWebやモバイルサービス全体の脆弱性を直接診断し、対策までご案内します。