古いPHP環境を安全に維持したい開発者や企業は、サブスクリプション契約を確認のうえ速やかな適用を。
10/27時点の判定。発表内容から編集部AIが判定しています。最新の提供状況は公式情報をご確認ください。
エレクトロニック・サービス・イニシアチブ（ESI）は、保守終了版PHP向けのセキュリティ延長保守サービスにおいて、重大な脆弱性「PHP2Shell」の修正をPHP 5.3〜8.1の全バージョンへ緊急提供したと発表しました。
かんたん版：専門用語を使わずに説明しています
古いバージョンのPHPを使っているシステム向けに、外部からサーバーを乗っ取られる恐れのある重大なセキュリティの穴を塞ぐ修正プログラムが急きょ提供されたというニュースです。
公式のサポートがすでに終わっている古いPHP（バージョン5.3から8.1まで）に対しても、新しい脆弱性（セキュリティの弱点）が見つかってからわずか2日で修正パッチが作られた点です。通常、古いシステムを直すのは非常に手間がかかりますが、専門のサービスが迅速に対応してくれました。
社内の古いシステムや、昔作ったウェブサイトをそのまま古いPHPで動かしている企業やウェブ担当者に関係があります。そのままにしておくと不正アクセスを受けるリスクがあるため、早めの対応が必要です。
エレクトロニック・サービス・イニシアチブ（ESI）が提供する「PHPセキュリティ延長保守サービス」のサブスクリプションに加入している必要があります。契約している方は、公式サイトのリリースノートを確認してすぐにアップデートを行いましょう。
古いバージョンのPHPを使っているシステム向けに、外部からサーバーを乗っ取られる恐れのある重大なセキュリティの穴を塞ぐ修正プログラムが急きょ提供されたというニュースです。
PHPには任意のコード実行などの深刻な脆弱性が相次いで発覚しており、JPCERT/CCなども修正済みバージョンへの更新を呼びかけています（PHPに複数の脆弱性、JPCERT/CCが修正済みバージョンへの更新を呼びかけ）。今回の発表は、そうした流れの中で公式サポートが終了した古いバージョンをどう守るかという実務的な対策になります。
エレクトロニック・サービス・イニシアチブ有限会社（以下、ESI）は、2026年10月23日に「PHPセキュリティ延長保守サービス」において、PHP 5.3から8.1までの全バージョンを対象とした緊急リリース（リリースID：esi-8.2.35）を実施したと発表しました。
これは、PHPプロジェクト（上流）が2026年10月21日に緊急リリースしたPHP 8.2.35のセキュリティ修正2件を、保守が終了している古いバージョンすべてに移植したものです。上流の告知ではサポート対象のPHP 8.2以降のみが挙げられていましたが、ESIの調査により、原因となるコードの仕組みが古いバージョンにも存在することが判明したため、迅速な対応が行われました。
今回修正されたのは、重要度が「critical（クリティカル）」とされる2件の脆弱性です。これらは合わせて「PHP2Shell」と呼ばれており、細工されたリクエストを送りつけられることで、認証なしにWebサーバーのワーカー権限で任意のコードを実行されてしまうおそれがあります。
具体的には、メモリ不足の処理において壊れた状態のメモリがそのまま使われてしまう問題（CVE-2026-109618、GHSA-w8hw-w9fx-j79w）と、前のリクエストの状態が次のリクエスト開始前に引き継がれてしまう問題（CVE-2026-109619、GHSA-6wmf-4rv5-p3rp）の2点です。
上流での修正は約390ファイル、1万行を超える大規模な変更でした。構造が異なる古いバージョンに対しては、バージョンごとにコードを書き直して移植し、テストとCI（継続的インテグレーション）で丁寧に検証が行われています。
また、この修正に伴い、メモリ上限（memory_limit）を超えた際の動作などが上流と同じように一部変更されます。ESIは普段、機能の追加や変更を行わない方針ですが、今回は脆弱性を残さず直すために上流の仕様に合わせた形です。
検証の過程で見つかった関連する問題についても、対策強化パッチが準備されており、今週中に追加でリリースされる予定です。また、PHP本体だけでなく、PECLモジュールについても同様の問題がないか調査が進められています。
| 項目 | 内容 | 出典 |
|---|---|---|
| 対象バージョン | PHP 5.3〜8.1 の全バージョンおよびOS別版 | 元記事 |
| リリース日 | 2026年10月23日（緊急リリース） | 元記事 |
| 対応OS | RHEL 6〜10および互換OS、Amazon Linux 1/2/2023、Ubuntu、Debian、その他Linux、BSD系OS | 元記事 |
| サービス開始 | 2008年（提供継続中） | 元記事 |
| 価格・入手方法 | サブスクリプション加入者向けに提供 | 元記事 |
公式サポートが終了した古いPHP環境では、基本的にセキュリティ修正が提供されません。そのため、今回の延長保守サービスを利用しない場合、こうした重大な脆弱性に対して無防備になってしまいます。
ただし、修正パッチの適用によって一部の動作（メモリ制限を超えたときの挙動など）が変わるため、既存のアプリケーションが正常に動作するかどうか、あらかじめ検証環境でテストを行っておくことが大切です。
古いPHP環境でウェブサイトやシステムを運用している企業やシステム管理者にとって、非常に直接的な影響があります。すぐにシステムを新しいPHPバージョンへ移行できない事情がある場合、こうした延長保守サービスを通じてパッチを適用することが、安全性を保つための現実的な防衛策となります。
古いPHP環境を使い続ける事業者にとって、今回の「PHP2Shell」対応は早急に確認すべき重要なアップデートです。契約中の方はリリースノートを確認し、速やかにパッチを適用することをお勧めします。
本記事は公式発表の文章をもとにAIが要約・解説して自動生成したものです。価格・仕様・提供時期は変更される場合があるため、購入・利用の前に発表元の一次情報をご確認ください。元記事を読む（解析モデル: gemini-3.5-flash-lite）制作方法と事実確認の手順は編集方針をご覧ください。誤りのご指摘はお問い合わせから受け付けています。
情報処理推進機構（IPA）による令和8年度前期の高度試験および情報処理安全確保支援士試験の申込受付終了について解説。今年度から導入されたCBT方式の注意点や今後のスケジュールをまとめました。
IPA（情報処理推進機構）が公開した、個人情報が漏えいした際の対処法と日頃のセキュリティ対策を詳しく解説。IDやパスワード、クレジットカード、本人確認書類が流出した場合の具体的な手順を紹介します。
ソフトバンクの「Fast Access」は混雑エリアでも高速通信を維持できるのか。動画アップロードやアプリDLの実測検証結果を基に、仕組みと利用条件を解説します。
京都発のウェルネスブランドLYTHAが誕生。イタリア産の100%エキストラバージン・ヘンプシードオイルを4gの遮光・密閉サシェに個包装した第一弾プロダクトの特徴や価格を解説します。