PHP2shellの公表後、自治体ホームページで何を確認する？

01

PHP2shellで公表されたこと

2026年10月21日、PHP開発元のThe PHP Groupは、リモートコード実行につながる2件の脆弱性を修正したセキュリティリリースを公表しました。IPAは10月22日に注意喚起を公開し、この2件の組み合わせを「PHP2shell」と呼んでいます。

• CVE-2026-109618：メモリ不足（OOM）時のエラー処理に関する問題
• CVE-2026-109619：リクエスト間で残る内部状態の処理に関する問題

悪用された場合、遠隔の第三者が任意のコードを実行する可能性があります。PHP公式は、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなどWebリクエストを処理するPHP環境を確認対象として挙げ、構成によりリスクが異なると説明しています。Apache mod_phpでは特にリスクが高いとの説明があります。

PHPを使っているという事実だけで、侵害済みとは判断できません。脆弱性への該当、実際の影響、侵害の有無は別々に確認します。この記事は個別サイトを検査・診断するものではありません。

02

どのバージョンを確認するか

IPAが示す修正済みバージョンは、PHP 8.2系が8.2.35、8.3系が8.3.36、8.4系が8.4.27、8.5系が8.5.12です。それぞれ、同じ系統のこれより前のバージョンが影響対象として示されています。PHP公式のアドバイザリも、この4つの修正版を掲載しています。

PHP 8.1以前はPHP公式の通常サポートが終了した系統です。PHP公式は、ソースから構築する利用者向けにPHP 7.4、8.0、8.1の限定的なソースバックポートも案内しています。また、Linuxディストリビューションや長期サポート事業者が独自に修正をバックポートする場合があります。適用状況は系統や提供元で異なるため、表示上の番号だけで未対応と決めつけず、利用しているOS・ホスティング・製品の提供元に、該当する修正の有無とパッケージ情報を確認してください。

IPAはWizの調査としてPHP 5.4以降の各版が2件のうち少なくとも一方の影響を受けるとの情報も紹介しています。これは「PHPを使う自治体サイトすべてで侵害が起きた」という意味ではありません。実際の適用判断には、PHPの系統・ビルド・実行方式・提供元の修正状況を確認する必要があります。

03

自治体担当者が確認するシステム

ホームページのトップページだけでは、PHPの利用有無や実行環境を判断できません。庁内の情報システム担当と委託先に、次の範囲を確認してください。

• 公開Webサーバー、CMS、管理画面、問い合わせフォームなど、PHPが動くシステム
• サブドメイン、別サーバー、委託先やホスティング事業者が運用する関連サイト・機能
• PHPの版、配布元とパッケージ番号、実行方式（例：PHP-FPM、Apache mod_php、php-cgi）
• 対象システムの一覧と、保守・更新・緊急連絡を担当する組織

CMS製品の名称やホームページの見た目だけで、サーバー側のPHPバージョンや修正適用状況は分かりません。契約書、構成資料、作業報告、提供元のアドバイザリなど、確認可能な記録を使います。

04

保守会社・提供元に聞くこと

対象システムごとに質問し、回答と根拠資料を記録します。PHPの設定変更や更新作業を、権限のない担当者が独自に行う必要はありません。

1. どのシステムが対象ですか。公開サイト、CMS、フォーム、サブドメイン、外部委託先を含む棚卸し範囲と確認漏れの有無。
2. PHPの版・実行方式・提供元は何ですか。OSやホスティング事業者のパッケージ利用、独自ビルド、サポート期限を含む一覧。
3. 今回の修正は適用済みですか。適用バージョンまたは提供元のバックポート情報、作業日時、対象ホスト、作業記録。
4. すぐ更新できない場合、何を暫定対応しますか。PHP公式のアドバイザリと提供元の指示をもとに、適用条件、副作用、解除条件、期限を説明できるか。緩和策は修正済み更新の代わりにはなりません。
5. 停止・更新・再開の手順は誰が承認しますか。影響する機能、利用者への案内、作業権限、テスト、切り戻し条件、再開の確認項目。
6. 侵害の疑いがある場合はどう連絡しますか。庁内のインシデント手順に沿う窓口、ログ等の保全担当、報告期限、調査を行う権限と契約範囲。

PHP公式は、暫定的な設定緩和が特定の攻撃経路を狭めても、完全な対策にはならないと明記しています。具体的な設定値・適用順は環境によって副作用があるため、PHP公式の最新アドバイザリと利用製品・サービスの提供元の指示に従い、自治体の承認と管理者の作業で進めます。

05

停止・更新・再開の責任を分けて確認する

公開停止や再開を保守会社だけの判断にせず、自治体の規程と業務影響に沿った承認経路を確認します。逆に、管理者権限のない担当者が独断でサーバー設定を変更したり、侵害調査のためにアクセスしたりしないでください。疑いがある場合は、まず庁内の事故対応手順に従って報告し、ログや記録の保全を権限ある担当へ依頼します。

06

自治体が公表した停止・復旧の例

• 奈良市は、PHPを利用する一部機能を予防的に停止した後、2026年10月22日に対応完了と機能復旧を公表しました。
• 本宮市は、確認作業中に問い合わせフォームなど一部機能を停止し、安全が確認でき次第順次再開すると公表しました。
• 滋賀県は、2026年10月23日15時時点の公開系Webシステムの状況を公表し、停止中のシステムと公開中の内訳を更新しました。

これらは各自治体が脆弱性対応のために行った停止・確認・復旧の公表例です。これらの発表だけから、PHP2shellによる侵害が発生したとは判断できません。停止や復旧の判断は、それぞれの自治体が確認した構成・作業状況に基づくものです。

07

一次情報と更新状況を追う

影響範囲・修正版・緩和策は、利用するPHPの系統や提供元により異なることがあります。対応前と再開前に、次の一次情報と更新履歴を確認してください。

• IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日公開。影響バージョン、修正版、暫定対応の案内）
• PHP公式 News Archive 2026（2026年10月21日のセキュリティリリースと、更新情報）
• PHP公式アドバイザリ GHSA-w8hw-w9fx-j79w / CVE-2026-109618
• PHP公式アドバイザリ GHSA-6wmf-4rv5-p3rp / CVE-2026-109619
• 奈良市「ホームページの一部機能の停止について（緊急メンテナンス）」（2026年10月22日更新。予防的停止後の対応完了・復旧を公表）
• 本宮市「PHPの脆弱性への対応に伴うホームページ一部機能の停止について」（確認中の一部機能停止と、安全確認後の順次再開を公表）
• 滋賀県「PHPの重大な脆弱性に関する対応について（第3報）」（2026年10月23日15時時点：把握143件、公開中112件、停止中31件）

別件の更新情報：PHP公式は2026年10月23日、特定のまれな設定とアプリケーション処理の組み合わせに関する追加のRCE経路について案内し、CVE-2026-115560の詳しいアドバイザリは次回リリースで公開予定としています。これはPHP2shellを構成するCVE-2026-109618／CVE-2026-109619とは別のCVEです。session.upload_progress.enabled=0はこの追加情報にも関係しますが、同設定はCVE-2026-109619の既存アドバイザリでも特定の攻撃経路に対する緩和策として挙げられています。適用条件や副作用はPHP公式と利用製品・サービスの提供元に確認してください。最終確認日：2026年10月24日。

08

Re:meの支援範囲

Re:meは、自治体の公開Webについて、許可された範囲で現状・契約・役割を整理し、優先順位や改善の進め方を検討する支援を案内しています。PHPの自動脆弱性診断、常時監視、侵害調査、事故対応の保証を提供すると表明するものではありません。実作業の範囲は、権限、契約、個別の合意により決まります。

09

関連ページ

• リスクを知る自治体ホームページの脆弱性・改ざんリスク6つの入口と、影響範囲・確認先。
• 疑いに気づいたら問題に気づいたときの行動権限ごとの初動と、保守会社への質問。
• 対策を知る自治体ホームページのWebセキュリティ対策更新・認証・権限・バックアップ・監視の組み合わせ。
• 担当を確かめる制作会社・保守会社との役割分担契約範囲と、権限の所在を確認。