CVE-2026-109619 は何が問題なのですか？
PHP-FPM などでは、一つのワーカーが多くのリクエストを順番に処理します。本来、リクエストが終わるたびにそのリクエストのデータは片付けられます。CVE-2026-109619 では、片付けた後も古いデータへの参照がグローバルな状態として残り、次のリクエストの処理中に使われてしまいます。
解放済みのメモリを使うと、攻撃者がメモリの内容を操作できる場合があります。PHP 公式のアドバイザリ（GHSA-6wmf-4rv5-p3rp）の題名は「RCE via stale global state」で、深刻度は CVSS v4.0 で 9.2 です。
CVE-2026-109619 の影響を受けるのはどの環境ですか？
Web リクエストを処理する PHP が対象です。複数のリクエストを同じワーカーで処理する PHP-FPM や Apache mod_php などの構成が含まれます。Nginx と PHP-FPM の構成だから対象外、ということはありません。
自分のサイトが対象か調べるには PHP2Shell チェッカーを使ってください。
CVE-2026-109619 の修正版はどのバージョンですか？
| 系列 | 最初の修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 以前 | 新しいリリースなし（7.4・8.0・8.1 は公式ソースパッチあり） |
CVE-2026-109618 と同じリリースで修正されています。
| 配布元 | リリース | パッケージ | 修正済みパッケージ | 状況 |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | 修正済み |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | 修正済み |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | 修正済み |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | 修正済み |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | 修正済み |
| Docker Official Images | — | php | — | 未確認 |
| 宝塔 | — | PHP | — | 未確認 |
| XServer | — | PHP | — | 未確認 |
| ConoHa WING | — | PHP | — | 未確認 |
| ロリポップ！ | — | PHP | — | 未確認 |
| 1Panel | — | 1panel/php | — | 未確認 |
2026年10月21日〜2026年10月22日に確認。
session.upload_progress を無効にすれば防げますか？
一部しか防げません。PHP 公式は、session.upload_progress.enabled を無効にすると、確認されているセッション関連の経路を止められるとしています。ただし、ほかの経路は残ります。しかも、リクエストを読み込む前の段階で無効になっている必要があり、ini_set() や PHP-FPM の .user.ini では足りません。全ワーカーの再起動も必要です。
PHP 8.5 では、fatal_error_backtraces を無効にする設定も確認済みの一つの経路を止めますが、ほかの経路は残ります。どちらも修正の代わりにはならない暫定対策です。詳しくは php2shell 回避策を参照してください。
CVE-2026-109619 への対応で何をすればいいですか？
- Web サイトで動いている PHP のバージョンを確認します（PHP バージョン確認方法）。
- 修正版、または配布元の修正済みパッケージへ更新します（php2shell 対処法）。
- すべての PHP ワーカーを再起動します。古いワーカーが残ると、古い PHP のまま動き続けます。
- 侵入の痕跡がないか確認します（サイト改ざん・侵害の確認方法）。
根拠となる情報は？
- The PHP Group: RCE via stale global state
- The PHP Group: セキュリティアドバイザリ
- Canonical: CVE-2026-109619
- Wiz Research: PHP2Shell
情報源
このページの主要な事実（修正版、CVE の内容、配布元のパッケージ、公的機関の呼びかけ）は公式の情報源にもとづいています。研究者の報告、報道、コミュニティの投稿はそれぞれ区別して表示しています。
- RCE via stale global state公式 The PHP Group
- Security advisory: Critical remote code execution vulnerabilities, update now公式 The PHP Group
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet研究 Wiz Research
- CVE-2026-109619事業者 Canonical