2026年10月22日、独立行政法人情報処理推進機構（IPA）より、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619：PHP2Shell）に関する注意喚起が公表されました。
今回確認された2件の脆弱性は、悪用された場合、外部の第三者によって任意のコードが実行されるおそれがあるものです。
PHPは、WebサイトやWebアプリケーションのほか、各種ソフトウェア製品等にも広く利用されており、幅広いシステムへの影響が懸念されます。
すでにPHPの開発元から修正版が公開されており、IPAでは、最新版へのアップデートなど、必要な対策の実施を呼びかけています。
会員各社におかれましては、自社で開発・運用するシステムに加え、顧客向けに提供・運用しているシステム等についても影響の有無をご確認いただき、修正プログラムの適用など、必要なセキュリティ対策を速やかに実施いただきますようお願いいたします。
なお、PHP 8.1以前のバージョンはサポートが終了しているため、該当する環境については、サポート対象バージョンへの更新や対策済み製品・サービスへの移行をご検討ください。また、直ちに更新できない場合にも、アクセス制限等の暫定的な対策をご検討ください。
詳細につきましては、以下のIPA公表情報をご確認ください。
【IPA公表情報】
■ PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2Shell）
（2026年10月22日公表）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
■ 【事前準備のお願い】PHPのセキュリティリリース公開予定について
（2026年10月21日公表）
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
会員各社におかれましては、関係部署や担当者等への情報共有とともに、適切な対策の徹底をお願いいたします。