php2shell（CVE-2026-109618 / 109619）：Red Hat 製品への影響範囲と対応状況

概要

出典：Red Hat CVE-2026-109618、Red Hat CVE-2026-109619、RHSB-2026-013

Red Hat の深刻度評価の根拠

Red Hat が Important（CVSS 8.1）とした根拠は、CVE ページの Statement に次のとおり記載されています。

• 確実な悪用には精密なヒープ操作とタイミング制御が必要である
• RHEL 8 以降の標準構成は mod_php ではなく PHP-FPM である
• PHP-FPM のワーカーは初期化の早い段階で失敗すると破損した構造体に到達する前に終了するため、実環境での RCE は困難。通常は「スクリプト実行中に2つ目のリクエストボディを解析する」ような非デフォルトの動作が必要
• デフォルト設定の mod_php を動かしている環境は高リスク

Red Hat は PHP-FPM を「影響なし」とはしていません。CVE-2026-109619 のページでは、公開ネットワークに面した PHP アプリケーションは認証なしで脆弱なコードに到達できると明記しています。

影響範囲（Red Hat 製品）

影響を受けない条件（Red Hat Bulletin より）

• PHP がインストールされていないシステム
• PHP を信頼できない HTTP リクエストに晒していないシステム

出典：RHSB-2026-013、Red Hat CVE-2026-109618（Security Data API の package_state）、Red Hat VEX（CVE-2026-109618）

対象パッケージと修正の有無

出典：Red Hat CVE-2026-109618 / CVE-2026-109619（Security Data API の affected_release）、Red Hat VEX（CVE-2026-109618）、Red Hat Bugzilla 2553995

※ errata と対象ストリームの対応は、Red Hat CVE データ API（affected_release）の記載に基づきます。EUS / AUS / TUS / E4S 向け errata は該当するアドオンサブスクリプションのリポジトリで提供されます。修正パッケージ版数が「—」のものは errata 本文で確認してください。

※ RHEL 9 の php 8.0.30 と RHEL 8 の php 7.4.33 はバージョン番号が据え置きで、リリース番号のみ更新されています（Red Hat のバックポートポリシー）。バージョン番号だけを見るスキャナは修正済みのシステムを脆弱と報告する場合があります。適用確認は errata 番号と rpm -q --changelog php の CVE 記載で行います。

※ 11月4日版まで OpenShift Dev Spaces 3 を「未修正」と記載していましたが、Red Hat の CVE データでは 10月26日発行の RHSA-2026:90321（Dev Spaces 3.31.0 リリース）で devspaces/udi-rhel9 の修正が提供されていました。前版の記述を訂正します。

関連脆弱性：CVE-2026-46300 との組み合わせ攻撃

php2shell で Web サーバー上のコード実行を得た後、Linux カーネルの権限昇格脆弱性 CVE-2026-46300（通称 Fragnesia、Dirty Frag 系列）を使って root 権限を奪取する攻撃が確認されています。

Red Hat 製品での CVE-2026-46300 の状況

CVE-2026-46300 は Red Hat Security Bulletin RHSB-2026-003「Dirty Frag」（2026年5月7日公開、Status: Resolved）の対象で、RHEL 8 / 9 / 10 向けの修正 errata は2026年5月20日に発行済みです。RHEL 6 / 7 は影響を受けません。

出典：RHSB-2026-003、Red Hat CVE-2026-46300、OpenShift 4 向け緩和手順

※ RHEL の修正カーネル版数は第三者サイトが Red Hat の CNA データを引用したものです。EUS / E4S / TUS 系の版数は CVE ページで個別に確認してください。

5月のカーネル更新を適用済みの RHEL では、php2shell 単体で侵入されても root への昇格経路は塞がれています。カーネル更新を長期間見送っている環境では、php の errata 適用と同時に uname -r で稼働中のカーネル版数を確認することをお勧めします。なお、11月1日以降に発行された CVE-2026-98432（IPv4 TCP の Use-After-Free）対応のカーネル errata を適用すれば、CVE-2026-46300 の修正も含まれます（別記事「Linux カーネルの TCP 脆弱性 CVE-2026-98432」を参照）。カーネル更新を即時に適用できない場合、RHSB-2026-003 には esp4 / esp6 モジュールのブロック（IPsec が停止する）または user.max_user_namespaces=0（rootless コンテナ等に影響）の緩和策が記載されています。

対応

1. PHP の有無と系統を確認する：rpm -qa 'php*'、dnf module list php（RHEL 8 / 9）
2. 実行形態を確認する：httpd -M | grep php（mod_php の有無）、systemctl is-active php-fpm
3. errata を適用する：dnf update --advisory=RHSA-2026:87xxx または dnf update 'php*'
4. プロセスを再起動する：systemctl restart php-fpm、systemctl restart httpd。再起動しない限り修正は反映されない
5. 適用を確認する：rpm -q --changelog php | grep CVE-2026-1096

Satellite / Red Hat Lightspeed（旧 Insights）を利用している環境では、該当 errata が適用対象として表示されます。

緩和策（Red Hat Bulletin より）

Red Hat は10月23日に Bulletin へ緩和手順を掲載しました。設定変更はパッチの代替にはならず、errata の適用が唯一の包括的な対策です。設定は PHP-FPM プール設定または Apache 設定の php_admin_value で行い、ワーカーを reload ではなく完全に再起動します。

出典：RHSB-2026-013（10月23日 22:15 JST 更新）

情報源

• RHSB-2026-013 Request handling memory corruption – php (CVE-2026-109618, CVE-2026-109619, CVE-2026-115560) – “php2shell”
• Red Hat CVE-2026-109618
• Red Hat CVE-2026-109619
• Red Hat Security Data API CVE-2026-109618（JSON）
• RHSA-2026:87072 Important: php:8.2 security update
• RHSA-2026:97880 Important: php:8.4 security update
• RHSA-2026:90321 Red Hat OpenShift Dev Spaces 3.31.0 Release
• Red Hat VEX データ CVE-2026-109618（CSAF 2.0）
• Red Hat Bugzilla 2553995
• Red Hat バックポートポリシー
• PHP Security Advisory GHSA-w8hw-w9fx-j79w（CVE-2026-109618）
• PHP Security Advisory GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）
• JPCERT/CC 注意喚起 JPCERT-AT-2026-0033（10月29日更新）
• Security NEXT：脆弱性「PHP2Shell」の悪用を確認 – 米当局が注意喚起
• RHSB-2026-003 Networking subsystem Privilege Escalation – Linux Kernel – “Dirty Frag”
• Red Hat CVE-2026-46300
• BleepingComputer：CISA warns of Fragnesia Linux flaw chained in PHP2Shell attacks
• マイナビニュース：PHPの脆弱性悪用で日本含む4カ国のサーバ25台が侵害か

更新履歴