2026年10月時点のPHPの最新バージョンは PHP 8.5.12 です。2026年10月21日、PHP開発チームは「PHP2Shell」と呼ばれる2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正する緊急セキュリティリリースを、サポート中の全系統（8.2〜8.5）に向けて公開しました。

どちらも、ログイン不要で外部からサーバー上のコードを実行されるリモートコード実行（RCE）のおそれがある深刻な脆弱性です。PHPで動くWebサイト（WordPressなどのCMSを含む）を運用している方は、本記事で自社サイトのバージョンを確認し、早急にアップデートしてください。

PHPの最新バージョン一覧（2026年10月22日時点）

2026年10月21日の緊急リリースにより、各系統の最新バージョンは以下のとおりです。お使いのPHPがこの表のバージョンより古い場合は、PHP2Shellの影響を受けます。

シリーズ 最新バージョン サポート状況 備考
PHP 8.5 8.5.12 アクティブサポート中 最新の安定版
PHP 8.4 8.4.27 アクティブサポート中 2026年12月31日からセキュリティサポートのみに移行
PHP 8.3 8.3.36 セキュリティサポートのみ アクティブサポートは2025年12月31日で終了
PHP 8.2 8.2.35 セキュリティサポートのみ 2026年12月31日でサポート終了（EOL）
PHP 8.1以前 ― サポート終了 公式の修正版は提供されない

出典：PHP: Supported Versions、CERT-EU Security Advisory 2026-018

2026年10月21日の緊急リリース：PHP2Shellとは

PHP2Shellは、PHP本体（実行エンジン）に見つかった2件の脆弱性の通称です。WizやOpenAIなどのセキュリティ研究者が発見し、CVSS v4.0で9.2（Critical）と評価されています。

CVE番号 内容 深刻度
CVE-2026-109618 メモリ不足（OOM）時の処理の不備を突いたリモートコード実行 9.2（Critical）
CVE-2026-109619 古いグローバル状態の残存を突いたリモートコード実行 9.2（Critical）

アプリケーション側のコードに問題がなくても、PHP本体の動作を悪用して攻撃が成立する点が特徴です。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境はすべて影響を受け、なかでもmod_phpは最もリスクが高いとされています。

経緯としては、10月20日にPHP公式が緊急リリースを予告し、翌21日に修正版が公開されました。公開前から脆弱性の情報がリークしており、攻撃の兆候や概念実証コード（PoC）の流通も報告されています。

出典：BleepingComputer、Help Net Security、CERT-EU

各バージョンのサポート期限

PHPの各系統は、リリースから2年間の「アクティブサポート」（バグ修正とセキュリティ修正）と、その後2年間の「セキュリティサポート」（重大なセキュリティ修正のみ）を受けられます。合計4年を過ぎるとサポート終了（EOL）となり、今回のような重大な脆弱性が見つかっても修正版は提供されません。

シリーズ 初回リリース アクティブサポート終了 セキュリティサポート終了
PHP 8.5 2025年11月20日 2027年12月31日 2029年12月31日
PHP 8.4 2024年11月21日 2026年12月31日 2028年12月31日
PHP 8.3 2023年11月23日 2025年12月31日（終了） 2027年12月31日
PHP 8.2 2022年12月8日 2024年12月31日（終了） 2026年12月31日

PHP 8.2は2026年12月31日、つまり約2か月後にサポートが終了します。8.2をお使いの場合は、今回のパッチ適用とあわせて8.4以降への移行計画を立てておきましょう。

出典：PHP: Supported Versions

今すぐやるべき対応

  1. PHPのバージョンを確認する
    • サーバーにログインできる場合は php -v を実行します。
    • WordPressの場合は管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。
    • レンタルサーバーの場合は、各社のコントロールパネルで確認できます。
  2. 修正版にアップデートする
    • 8.2〜8.5系は、8.5.12／8.4.27／8.3.36／8.2.35以降に更新します。
    • ソースからビルドしている場合はPHP公式サイト、パッケージ管理の場合は各Linuxディストリビューションの更新版を適用します。
    • レンタルサーバーやマネージドサーバーでは、事業者の対応状況とお知らせを確認してください。
  3. PHPのプロセスを再起動する
    • PHP-FPMやApacheなどを再起動しないと、更新後も古いPHPが動き続けます。
  4. 8.1以前を使っている場合は移行を急ぐ
    • PHP公式からの修正版はありません。サーバー事業者やディストリビューションが独自に修正を提供している場合もありますが、根本対策はサポート中の系統への移行です。

すぐに更新できない場合に向けて、PHP公式は設定変更による一時的な緩和策も案内しています（PHP 8.5での fatal_error_backtraces=0 など）。ただし緩和策はあくまで応急処置です。詳細はPHP公式のセキュリティアドバイザリを確認し、修正版の適用を最優先してください。

注意事項とまとめ

  • PHP 8.1以前のバージョンは公式サポートが終了しており、PHP2Shellの修正版は提供されません。
  • 今回の緊急セキュリティパッチは、PHP公式サイトおよび各Linuxディストリビューションから適用できます。
  • PHP 8.4のアクティブサポートと、PHP 8.2のセキュリティサポートは、いずれも2026年12月31日に終了します。
  • 次期バージョンのPHP 8.6は現在リリース候補（RC）段階です。正式リリース後は本記事の情報も更新します。

PHP2Shellは、PHPで動くほぼすべてのWebサイトに関係する重大な脆弱性です。まずはバージョンを確認し、修正版への更新とプロセスの再起動を済ませてください。古いバージョンからの移行やサイトの動作検証にお困りの場合は、お気軽にご相談ください。

参考情報

お問い合わせ