対応状況
完了共用ホスティング10月22日16:00に、すべてのサーバーへの修正パッチ適用が完了しました。
対応中専有クラウドサーバーお客様ごとの対応となるため、順次適用を進めています。
2026年10月22日16:00時点
2026年10月21日、PHPに重大な脆弱性が2件公表されました（通称「php2shell」）。ログイン不要でサーバー上の任意のコードを実行される危険があり、国内でも多くのWebサービスが一時停止する事態となりました。インクレイブのクラウドホスティングにおける対応状況をお知らせします。
脆弱性の概要
| 通称 | php2shell |
|---|---|
| CVE番号 | CVE-2026-109618（メモリ不足時の処理に起因） CVE-2026-109619（解放済みの内部状態の再利用に起因） |
| 深刻度 | 緊急（CVSS v4.0 で 9.2 と報告されています） |
| 起こりうる被害 | 認証なしで、PHPの実行権限による任意のコード実行。サイトの改ざん、データベースの情報の持ち出し、他の利用者のパスワードやセッション情報の漏えいなどにつながるおそれがあります |
| 影響を受ける環境 | Webリクエストを処理するすべてのPHP（PHP-FPM、Apache の mod_php、php-cgi、LiteSpeed など） |
| 修正版 | PHP 8.5.12／8.4.27／8.3.36／8.2.35 |
| PHP 8.1 以前 | PHP公式からの修正版は提供されません。延長サポート（LTS）ベンダーによる修正の適用か、サポート中のバージョンへの移行が必要です |
インクレイブの対応
PHPのバージョンごとに修正の手段が異なるため、修正版のあるPHPと公式の修正が出ない古いPHPの両方に対応し、さらに入口のWAFでも攻撃を止める二重の構えで進めています。
入口WAFで攻撃の通信を遮断修正の適用が完了するまでの間も守る
本体PHPそのものを修正修正版への更新／延長サポートによる修正
Pleskの修正版PHPへ更新
Pleskからリリースされた修正版PHP（8.2〜8.5系）を順次適用しています。
OSパッケージの更新
OS標準のPHPについては、dnf update によるマイナーアップデートで修正版を適用しています。
古いPHPにも修正を適用
公式の修正が出ないPHP 8.1以前には、CloudLinux の Extended Lifecycle Support for PHP を導入し、修正を当てています。Imunify360 経由での追加と、CloudLinux からの直接導入の両方で対応しています。
WAFのシグネチャを確認
攻撃遮断くん（クラウド型WAF）で、今回の脆弱性を狙う攻撃に対応したシグネチャが追加されていることを確認しました。
お客様への影響
- お客様側での作業は必要ありません。
- 作業に伴いサイトの一時停止や再公開が必要になる場合は、該当するお客様に個別にご連絡しています。
- ご不明な点は、担当者またはお問い合わせ窓口までご連絡ください。
他社のサーバーで、古いPHPを使い続けている方へ
PHP 8.1 以前は、今後も公式の修正版が提供されません。今回のような重大な脆弱性が出たとき、自力で修正を当てるのは容易ではありません。現在のサーバーの状況確認だけでも承りますので、お気軽にご相談ください。
参考情報
本記事は公開時点の情報に基づいています。対応状況は随時更新します。