1. 脆弱性の概要

2026年10月21日、PHP 公式（CNA）と Wiz Research は、PHP コアエンジンに存在する、メモリ安全性に関する 2 件の重大な脆弱性を同時に公表しました（業界では総称して PHP2Shell）。両者は根本原因が同一です。PHP はリクエストが致命的エラー（特にメモリ枯渇 OOM）で異常終了した際に内部状態を正しくクリーンアップせず、解放済み／未初期化のリクエストメモリを指す状態が残留します。同一ワーカーの後続リクエストがこの残留状態を読み取る、または依存すると、リクエスト間の Use After Free となり、制御可能なメモリ破壊へと発展し得ます。その結果、認証なしでのリモートコード実行（RCE）に至る可能性があります。

 

2. 危険度

項目内容
CVSS v4.0（PHP CNA、2 件の CVE は同評価）9.2 / CRITICAL（AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H）
影響を受けるバージョンPHP 8.2 < 8.2.35、8.3 < 8.3.36、8.4 < 8.4.27、8.5 < 8.5.12（2 件の CVE で共通）
修正バージョン8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（コミット 3584a98bda、同一の修正で 2 件の CVE に対応）
CWECWE-416（UAF）/ CWE-755 / CWE-824 / CWE-1325 / CWE-1419
悪用の難易度CVE-2026-109618 は mod_php に対しては比較的低い（未認証の HTTP リクエスト、デフォルト設定、アプリケーションコード実行前）。CVE-2026-109619 は比較的高い（OOM の致命的エラーの誘発、同一ワーカーでのリクエスト間ヒット、メモリレイアウトへの適合が必要）。AI の支援により、適合に要するコストは数時間程度まで低下している

 

3. 影響状況

WPS 365では一部の機能で PHP 技術スタックが使用されていましたが、関連する脆弱性の修正は完了しており、現在は本脆弱性の影響を受けません。

 

4. 対処に関する推奨事項

現時点で緊急の対処は不要です。本脆弱性は現在の環境では発動させることができず、即時のセキュリティリスクは存在しないため、これ以上の対処は必要ありません。

 

5. お問い合わせ先

ご不明な点やさらなるサポートが必要な場合は、担当営業までお問い合わせ頂くか、またはお問い合わせフォームよりご連絡下さい。

https://www.wps365.jp/support/contact

今後もお客様のデータセキュリティと製品の安定的な運用に万全を期してまいります。何卒ご理解とご協力を賜りますようお願い申し上げます。

 

WPS株式会社

2026年10月23日