PHPコアに発見された、認証不要のリモートコード実行（RCE）の脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について解説しています。

主な内容は以下の通りです。

• 脆弱性の概要: リクエストをまたいだメモリ管理の不備（use-after-free等）に起因し、CVSS 9.2の高スコアを持つ。HTTPリクエストだけで任意のコード実行や機密情報の漏えいが引き起こされる。

• リスクの背景: 2012年以降のバージョンに影響が及び、アプリ側の実装に関わらずインターネットに公開されたPHPサーバーが狙われる。修正パッチ公開前段階から活発な攻撃が観測された。

• 対策: 修正済みバージョンへのアップデートおよびすべてのワーカーの再起動が必須であるほか、暫定的な設定変更や、Sysdig Secure や Falco を用いたランタイム検知による多層防御が重要となる。