Relay2社は、PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について、自社の製品とサービスへの影響を調べた結果を、2026年10月21日付けのSecurity Advisoryで公表しました。

この記事では、その要点をまとめます。

PHP2Shellは、PHPの実行環境そのものに見つかった2つの重大な脆弱性の通称です。2026年10月21日（米国太平洋時間）に公表されました。どちらもCVSS v4.0で9.2（Critical）と評価されています。

• CVE-2026-109618

  メモリ不足の状態をうまく扱えず、リクエストの内部データが壊れたまま残ることがあります。後の処理がこの壊れたデータに触れることで、任意のコードを実行されるおそれがあります。

• CVE-2026-109619

  解放済みのメモリへの参照が残り、同じワーカーが処理する次のリクエストから使われることがあります（use-after-free）。これにより、任意のコードを実行されるおそれがあります。

悪用されると、ログインしていない第三者が外部から、PHPのプロセスの権限で任意のコードを実行できるおそれがあります。脆弱性はPHPの実行環境にあるため、アプリケーションやフレームワークの種類にかかわらず、該当するバージョンのPHPを使うWebサービスが対象になります。

PHPプロジェクトは2026年10月21日に、次の修正版を公開しました。設定の変更だけでは完全には防げないため、修正版への更新が推奨されています。

これより古いPHPも影響を受けるおそれがあり、提供元によるセキュリティ修正の取り込み（バックポート）か、サポート中のバージョンへの移行が必要です。