php2shellのFutureVuls検知状況と確認手順

php2shellについて、「FutureVulsで検知できるか」というお問い合わせをいただいています。2026年10月22日、FutureVulsで該当の脆弱性が検知されることを確認しました。

php2shellは、PHPでリモートコード実行につながる2件の脆弱性（CVE-2026-109618 / CVE-2026-109619）の通称です。PHP公式は2026年10月21日に修正版を公開しました。

この記事では、検知画面、脆弱性の概要、OS別の検知状況と確認手順を紹介します。OS別の検知状況は、確認でき次第、表と更新履歴に反映します。確認日は日本時間で記載しています。

自社のサーバを確認する方法は、本文後半の「FutureVulsユーザの確認手順」をご覧ください。

更新履歴

• 2026年10月22日：初版作成
• 2026年10月22日：国内の注意喚起、検索手順、OS別の検知画面を追加
• 2026年10月22日：Rocky Linux、Oracle Linux、Amazon Linux 2023、CPE登録したPHPを「対応済み」に更新し、検知画面を追加

FutureVulsでの検知画面

「脆弱性」一覧をCVE IDで絞り込むと、php2shellの2件の脆弱性が検知されていることを確認できます。画面の見方は脆弱性タブのマニュアルをご覧ください。

サーバ詳細の「脆弱性×タスク」では、対象サーバで検知した脆弱性のCVE IDと、影響を受けるパッケージを確認できます。この画面には、Red Hat Enterprise Linux 10.2のPHPパッケージで検知した2件の脆弱性が表示されています。対応状況の管理方法はタスクのマニュアルをご覧ください。

FutureVulsは、Linuxパッケージの脆弱性検知に、ディストリビューションが提供する脆弱性情報を使っています。バックポート修正を考慮した判定条件と、導入されているパッケージのバージョンを照合しています（Linuxスキャンのマニュアル）。

php2shellの概要（2026年10月22日時点）

Wiz Researchは、発見した脆弱性を2026年8月24日にPHPセキュリティチームへ報告し、10月21日に修正版と脆弱性の詳細情報が公開されたと説明しています。米国CISAは、日本時間2026年10月22日に公表した注意喚起で、公表時点では悪用を観測していないと説明しています。国内では、JPCERT/CCとIPAが2026年10月22日にそれぞれ注意喚起を公開しています。修正版への更新と、更新後のPHP-FPMやApacheの再起動を優先してください。

• JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（JPCERT-AT-2026-0033）：対象製品が国内で広く使われていることを確認したとして、修正版の適用と、侵害の有無の調査を呼びかけています。
• IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）：更新が難しい場合の暫定対策やアクセス制限、サポートが提供されるPHPなどへの移行、維持管理体制の確保について検討を呼びかけています。

OS・製品別の検知状況（随時更新）

php2shell（CVE-2026-109618 / CVE-2026-109619）について、FutureVulsの検知状況をOS・製品別にまとめました。

• 対応済み：検知に必要な脆弱性情報をFutureVulsに取り込んでいます。対象のOS・製品をスキャンすると、影響を受けるPHPの脆弱性を検知できます。
• 対応確認中：検知に必要な脆弱性情報の公開状況や、FutureVulsへの取り込み状況を確認しています。対応を確認でき次第、この表を更新します。

特記がなければ、2件のCVEが対象です。PAN-OSはCVE-2026-109618のみを対象としています。

「対応確認中」のOSでFutureVulsに検知されなくても、安全とは限りません。ベンダーの公開情報を直接確認し、修正版が提供されている場合はFutureVulsへの反映を待たずに更新してください。

OS・製品別の検知画面

以下は、表に掲載したOS・製品の検知画面の例です。検知したCVEと対象のソフトウェアを確認できます。CPE登録したPAN-OSは、CVE-2026-109618のみを対象としています。画面の見方はタスクのマニュアルをご覧ください。

Ubuntu 26.04

Debian 13

Fedora 44

Red Hat Enterprise Linux 10.2

Palo Alto PAN-OS（CPE登録）

Rocky Linux 9.8

Oracle Linux 10.2

Amazon Linux 2023

CPE登録したPHP（ソースから導入したものなど）

FutureVulsユーザの確認手順

FutureVulsの脆弱性スキャンは、サーバの構成情報を収集・アップロードする処理と、その情報を脆弱性データと照合する処理で構成されています。画面の「手動スキャン」では、アップロード済みの構成情報を使って照合のみを行います（スキャンの仕組み）。

1. 画面から再照合する：FutureVulsの「サーバ・製品」から対象サーバの詳細を開き、「手動スキャン」を実行します。登録済みの構成情報が脆弱性データと再照合されます。グループ全体を再照合するには、グループ設定の「全サーバを手動スキャン」を使います（1回500台まで）。CSIRTプランでは1日1回、日本時間0時〜8時ごろに自動で再照合されます。

2. 該当サーバを洗い出す：探し方は2つあります。

   • CVE IDから探す：対象サーバの「脆弱性×タスク」で、CVE IDフィルタに CVE-2026-109618 と CVE-2026-109619 をOR条件で指定します。グループ内のサーバを横断して調べる場合は「脆弱性」タブや「タスク」一覧で同じ条件を指定し、対象サーバと「脆弱なソフトウェア」を確認します。

     

   • ソフトウェア名から探す：グループの「ソフトウェア」タブで、ソフトウェア列のフィルタに php を指定します。PHPのパッケージ名とバージョンを一覧で確認できます。行をクリックし、詳細の「サーバ」タブを開くと、導入先のサーバを確認できます（ソフトウェアタブのマニュアル）。脆弱性情報の反映を待っているOS（表の「対応確認中」）でも、この方法でPHPの所在を先に把握できます。

     

3. 更新して再起動する：タスクがある場合は、選択して「アップデートコマンド」で更新コマンドを確認できます。未検知の場合も、ベンダーの案内に従って修正版を適用し、利用しているPHP-FPMやApacheなどを再起動してください。

4. サーバ側でスキャナを実行する：PHPの更新後は、対象サーバでスキャナを手動で実行し、構成情報を再収集してFutureVulsにアップロードします。Linuxローカルスキャンの場合は、対象サーバ上で sudo -H -u vuls-saas /opt/vuls-saas/vuls-saas.sh を実行します。画面上のパッケージが修正版のバージョンに更新されたことを確認します。対応するタスクがある場合は、ステータスが自動で PATCH_APPLIED に変わったことも確認します。画面の「手動スキャン」だけでは、更新後のパッケージ情報を取得できません。

5. ソースから導入したPHPを登録する：サーバ詳細の「ソフトウェア」→「ソフトウェア登録」で、製品と導入済みバージョンに対応するCPEを登録し、画面の「手動スキャン」を実行します。PHP更新後は登録したCPEのバージョンも更新してください。

関連情報

• PHP公式：セキュリティアドバイザリ — 影響範囲・修正版・緩和策
• PHP公式の技術詳細・CVSS評価：CVE-2026-109618 / CVE-2026-109619
• Wiz Research：php2shell — 発見者による解説と公開までの経緯
• 米国CISA：PHPの脆弱性に関する注意喚起 — 公表時点の悪用状況と推奨対応
• JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 — 影響範囲、対策、侵害調査の観点
• IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell） — 更新が難しい場合の対応と移行の検討事項
• FutureVulsマニュアル：スキャンの仕組み — 構成情報の収集と再照合、手動スキャン
• FutureVulsマニュアル：Linuxのローカルスキャン — スキャナの実行方法とバックポートの扱い
• FutureVulsマニュアル：CPEスキャン — ソースから導入したソフトウェアなどの登録方法
• FutureVulsの関連記事：React2Shell（CVE-2025-55182）の技術的背景とFutureVulsによる実効的な対策

FutureVulsの機能や導入については、製品サイトをご覧ください。

執筆者プロフィール

フューチャー株式会社

Cyber Security Innovation Group　エンジニア

棚井龍之介（たない りゅうのすけ）

役割

セキュリティ領域を専門とするエンジニア（クラウドインフラ領域、バックエンド開発）として業務に従事。 同社が展開する脆弱性管理ツール「FutureVuls」に深く携わっており、OSSの脆弱性スキャナ（TrivyやVuls）の エンジン検証、SBOMの取り込み、サプライチェーン攻撃の調査・安全性の検証レポートなどを担当。

略歴

フューチャー株式会社の公式技術ブログ「Future Tech Blog」や「FutureVuls Blog」で継続的に技術発信を行っており、 クラウドインフラからサイバーセキュリティまで幅広い技術領域で活躍。

• サイバーセキュリティ: 脆弱性管理（CPE名の検索最適化など）、サプライチェーンセキュリティの監視、セキュリティ製品の実装・運用
• クラウド・インフラストラクチャ: AWS（DynamoDB等のサーバレス技術）、Terraformを用いたInfrastructure as Code（IaC）の推進、LocalStackを利用したローカルテスト環境の構築
• 業務自動化とプログラミング: 主な使用言語はGo言語やRuby。GAS（Google Apps Script）やSlack Botを利用した業務効率化、Seleniumを利用したUI操作の自動化

棚井龍之介の他の記事を見る