PHPセキュリティ延長保守サービス、 PHP2Shellの修正を保守終了版PHP 5.3～8.1に提供

エレクトロニック・サービス・イニシアチブ有限会社(所在地：岡山県総社市、代表取締役社長：大垣 靖男、以下「ESI」)は、保守終了版PHPにセキュリティ修正を提供する「PHPセキュリティ延長保守サービス」において、PHPプロジェクト(以下「上流」)が2026年10月21日に緊急リリースしたPHP 8.2.35のセキュリティ修正2件を、PHP 5.3～8.1の全バージョンに移植し、2026年10月23日に緊急リリース(リリースID：esi-8.2.35)として提供しました。

いずれも重要度criticalの脆弱性(2件をあわせて通称「PHP2Shell」)で、細工したリクエストにより、認証なしに、Webサーバーのワーカーの権限で任意のコードを実行されるおそれがあります。

・CVE-2026-109618(GHSA-w8hw-w9fx-j79w)：メモリ不足の処理で、壊れた状態のメモリがそのまま使われる
・CVE-2026-109619(GHSA-6wmf-4rv5-p3rp)：前のリクエストの状態が、次のリクエストの開始前に使われる

上流のアドバイザリは、影響を受けるバージョンとして上流がサポートを続けるPHP 8.2以降だけを挙げていますが、ESIの調査で、原因となる作りが保守終了版のPHP 5.3～8.1のすべてにあることを確認しました。

・対象：PHP 5.3～8.1の全バージョンと、そのOS別の版
・上流の修正は約390ファイル、1万行を超える大規模な変更です。コードの構造が異なる古いバージョンには、バージョンごとに書き直して移植し、テストとCIで検証しました。
・修正に伴い、メモリ上限(memory_limit)を超えた時の動作など、一部の動作が上流と同じく変わります。ESIは機能の追加・削除・変更を行わないことを原則としていますが、今回は脆弱性を漏れなく修正するため上流と同じ修正を適用しました。変更点と、更新までの緩和策はリリースノートに記載しています。

ESIは、すべてのお客様に本リリースへの速やかな更新をお勧めします。

※リリースノートを参照するには、PHPセキュリティ延長保守サービスのサブスクリプションが必要です。

・PHP2Shell対策の強化 ：本リリースの検証の過程で見つかった関連する問題の修正をまとめた、対策強化パッチを準備しています。今週中にリリースする予定です。
・PECLモジュールの対策：PHP本体の外で提供されるPECLモジュールについても、PHP2Shellと同じ種類の問題が無いかを調査し、対策を実装しています。

PHPセキュリティ延長保守サービスは、保守終了版PHPに対してセキュリティ修正を提供するサービスです。2008年の提供開始以来、システム改修やバージョンアップが難しい環境のセキュリティ維持を支援してきました。PHPのバージョン番号や機能を変更することなく、セキュリティ修正のみを適用するため、既存アプリケーションへの影響を最小限に抑えながら、保守終了版のPHPを安全に継続利用できます。

対象バージョン： PHP 5.3～8.1
対応OS　　　　： RHEL 6～10および互換OS、Amazon Linux 1/2/2023(PHPのバージョンにより異なります)、Ubuntu、Debian、その他のLinux、BSD系OS
サービス紹介　： https://www.es-i.jp/services/php-security-patch-service

エレクトロニック・サービス・イニシアチブ有限会社
所在地　　　： 岡山県総社市西坂台228
代表者　　　： 代表取締役社長　大垣 靖男
事業内容　　： オープンソース製品コンサルティング、
　　　　　　　 セキュリティ検査サービス、PHPセキュリティ延長保守サービス、
　　　　　　　 HeroDevs NESセキュリティ延長保守サービス
URL　　　　 ： https://www.es-i.jp/
お問い合わせ： info@es-i.jp