2026.10.22

【続報】CS^2 重大なセキュリティ脆弱性（PHP2Shell）への対応状況について

2026年10月22日

2026年10月21日にお知らせしました、PHPの重大なセキュリティ脆弱性について、PHP公式より緊急セキュリティアップデートが公開されましたので、続報をご案内いたします。

今回の脆弱性は「PHP2Shell」とも呼ばれており、CVSS v4.0において、いずれも深刻度9.2（10点満点）と評価された2件の脆弱性が確認されています。

株式会社中部システムでは、パートナーである米国Seiden Groupと協力し、IBM i向けPHP環境「CS^2」のセキュリティアップデートへの対応を進めています。

PHP公式から公開された修正版

2026年10月21日、PHP公式より以下の修正版が公開されました。

また、サポートが終了しているPHP 7.4、8.0、8.1についても、今回の脆弱性に対する特例措置として、PHP公式よりセキュリティ修正のソースコードが提供されています。

今回確認された脆弱性は、以下の2件です。

いずれもPHP内部のメモリ管理や状態管理に関する不具合であり、攻撃者が細工したHTTPリクエストを送信することで、メモリの整合性が破壊されるなどの問題が発生する可能性があります。

最悪の場合、認証されていない攻撃者によって、サーバー上で任意のコードを実行される可能性があります（リモートコード実行：RCE）。

今回の脆弱性はPHP自体に存在するものであり、IBM i上で稼働するPHP環境についても影響を受ける可能性があります。

インターネットに公開されておらず、アクセス可能な利用者や端末が限定されている社内システムでは、不特定多数から攻撃される環境と比較して、リスクは相対的に低いものと考えられます。

ただし、社内端末のマルウェア感染などによる攻撃の可能性もあるため、安全性が保証されるものではありません。

今回の脆弱性に対する恒久的な対策としては、セキュリティ修正パッチの適用、または修正版PHPへのバージョンアップが必要となります。

Seiden Groupでは、今回のセキュリティ修正を取り込んだIBM i向けPHPパッケージの提供を進めています。

PHP 8.2～8.5に加え、旧バージョンであるPHP 7.4、8.0、8.1についても、Seiden Groupから修正パッケージの提供が案内されています。

株式会社中部システムでは、Seiden Groupの技術者と直接確認を進めながら、CS^2をご利用のお客様への提供に向けた準備を進めています。

なお、PHP公式が今回の修正を提供していないPHP 7.3については、現在Seiden Groupにて対応可否を検討しております。

正式なリリースおよびCS^2としての対応内容が確認でき次第、改めてご案内いたします。

当社では、セキュリティ上の観点から、修正版の適用を推奨しております。

実際の対応につきましては、お客様の利用環境、社内規定、内部統制、運用面およびコスト面などを踏まえ、ご判断いただくことになると考えております。

それぞれのお客様のご利用状況に照らし合わせて、適切な対応をご検討くださいますようお願いいたします。