Ubuntuは10月21日（現地時間）、PHPに存在する2件の重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」（通称：php2shell）について、サポート対象のすべてのリリース向けに修正版パッケージを公開したと発表した。
両脆弱性はあらゆるPHPアプリケーションに影響する。Webアプリケーションにネットワークアクセスできる攻撃者は、認証なしで、PHPアプリケーションの権限による任意のリモートコード実行を容易に行えるとされている。CVSS 4.0のスコアはいずれも9.2で、深刻度は「CRITICAL」である。公開日は当初10月22日14時（UTC）に設定されていたが、情報流出により21日14時（UTC）に前倒しされた。
自身のシステムが影響を受けるかどうかは、以下のコマンドで確認できる。 apt list '?installed ?name(^php[0-9.]+$)'
修正版はTrusty（14.04）からStonking（26.10）までの各リリース向けに提供されており、「sudo apt update && sudo apt upgrade」で適用できる。適用後は、PHPインタプリタを使用するアプリケーションの再起動、またはシステムの再起動が必要となる。自動更新（unattended-upgrades）を有効にしている環境でも、パッチ適用後の再起動は手動で行う必要があるため注意が必要だ。
なお、Ubuntu 20.04 LTS以前では、Ubuntu ProのExpanded Security Maintenance（ESM）経由で修正を適用する。Ubuntu Proは最大5台（コミュニティメンバーは最大50台）まで無料で利用できる。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
