2026年10月21日、PHPの脆弱性「PHP2Shell」に対する修正版と、Node.jsの緊急セキュリティアップデートが相次いで公開されました。本記事では、現在の状況、Haposoftが運用中のシステムに対して実施した対応、そして企業の皆様に今すぐご確認いただきたい事項をまとめています。
1. 何が起きたのか
PHP2Shell（CVE-2026-109618、CVE-2026-109619）は、認証なしで、たった1回のリクエストによりサーバー上で任意のコードを実行できる2件の脆弱性です。いずれもCVSS v4.0で9.2（10点満点）と評価されています。
- PHP 5.4以降のほぼすべてのバージョンが影響を受けます。
- WordPress、Laravel、Magento、Drupal、phpMyAdminなど、広く利用されているCMSやフレームワークで攻撃が成立することが確認されています。
- 修正版の公開直後から、実際の攻撃も観測されています。
- PHPは8.2〜8.5向けの修正版を公開しました。PHP 8.1以前はサポートが終了しています。7.4・8.0・8.1向けにはPHP公式からソースコード形式のバックポートパッチのみが提供されており（再ビルドが必要）、それ以前のバージョンにはPHP公式の修正はなく、Ubuntu Proなど一部のディストリビューションによるバックポート修正のみが提供されています。
同時にNode.jsでも複数の脆弱性を修正するセキュリティアップデートが公開されました。主なものは、Brotli展開処理の脆弱性（CVE-2026-111497）と、TLSのホスト名検証を回避できる2件の脆弱性で、いずれも深刻度は「High」です。Node.js 20はサポートが終了しており、修正版は提供されません。
Pythonについては、現時点で同程度の緊急性を持つ脆弱性は公表されていません。ただし、サポート終了済みの3.10以前をご利用の場合は、計画的なアップグレードをお勧めします。
2. Haposoftの対応
10月20日にPHPプロジェクト（PHP Foundation）からセキュリティアップデートの事前告知が出された時点で、当社は運用中の全プロジェクトを対象に対応を開始しました。
- 全システムの調査：本番環境・ステージング環境を含め、各プロジェクトのPHPバージョン、OS、ホスティング環境を棚卸ししました。
- 10月21日当日中にお客様へご連絡：システムごとにリスク評価と個別の対応策をご提案しました。
- 修正版公開と同時に適用：ベトナム時間10月21日21時の公開後、PHP 8.2〜8.5を使用しているシステムは同日夜から22日にかけて最新の修正版へ更新しました。
- 旧バージョンへの柔軟な対応：条件を満たすシステムにはPHP 7.4・8.0・8.1向けのバックポート修正を適用し、必要に応じてPHPをソースコードからビルドしました。レンタルサーバーをご利用のWebサイトについては、レンタルサーバー事業者と連携して対応しました。
- 即時の修正が難しい場合の一時的な防御：アクセス制限（認証またはIP制限）により、リクエストがPHPに到達する前に遮断しました。
- お客様のご判断によるサービスの一時停止：修正版が提供されない古いバージョンのシステムは、アップグレードが完了するまでの間、お客様のデータを守る最も確実な手段として一時停止しました。
- Node.jsおよびPythonプロジェクトの並行調査：次の更新計画に向けて確認を進めています。
PHPバージョン別の対応方針：
|
PHPバージョン |
対応方針 |
|
8.2〜8.5 |
公式修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）へ更新 |
|
7.4・8.0・8.1 |
PHP公式のバックポートパッチ（ソース形式・再ビルドが必要）またはディストリビューション提供の修正を適用し、アップグレードを計画 |
|
7.3以前 |
PHP公式の修正なし：ディストリビューションの修正（Ubuntu Proなど）があれば適用し、なければ一時的な防御またはサービス停止の上、アップグレード |
|
レンタルサーバー |
レンタルサーバー事業者と連携し、更新状況を確認・適用 |
10月22日時点で、Haposoftが管理する運用中のシステムは、すべて修正版の適用、一時的なリスク軽減策の実施、またはお客様と合意の上での一時停止のいずれかの対応を完了しています。一時停止中のプロジェクトについては、引き続きお客様と共にアップグレード計画を策定し、できる限り早く安全にサービスを再開できるよう取り組んでまいります。
3. 企業の皆様に今すぐご確認いただきたいこと
PHPまたはNode.jsで構築されたWebサイトやシステムを運用されている場合は、以下を至急ご確認ください。
- 使用中のバージョン：修正版はPHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（各ブランチごと）、Node.js 22.23.4 / 24.22.1 / 26.12.1です。これより古いバージョンをご利用の場合は修正が未適用のため、至急更新するか、Haposoftまでご相談ください。
- サポート終了バージョンの使用有無：PHP 8.1以前、Node.js 20、Ubuntu 20.04を使用していませんか？該当する場合は、早急にアップグレードをご検討ください。
- レンタルサーバーの場合：レンタルサーバー事業者に更新済みかどうかをご確認ください。
- 不審な兆候の確認：Webサイトのディレクトリ内の見覚えのないファイル、新しい管理者アカウント、不審な定期実行タスク（cron）がないかご確認ください。
4. サポートが必要な場合は、Haposoftまでご相談ください
自社のシステムが影響を受けているか分からない場合や、PHP・Node.js・OSの調査、修正、アップグレードについてサポートが必要な場合は、Haposoftの技術チームがお手伝いいたします。Haposoft以外が開発したシステムについても、当社の技術チームが調査の上、最適なアップグレード方針をご提案いたします。
お問い合わせ：contact@haposoft.com
.png&w=828&q=75)
