PHPに緊急レベルの脆弱性

なんかネットがガヤガヤしている。

PHP開発チームは、修正版を10月21日23時（日本時間）に公開する予定です（公式告知）。
当該脆弱性群は「php2shell」とも呼ばれ、外部からの任意コード実行脆弱性（RCE）と見られます。
当該脆弱性は、研究者の投稿によれば、mod_php/php-fpm、WordPress/Laravel/Symfony 等様々な構成で攻撃が再現するようです。
これらは影響範囲の一部と考えられ、他にも影響は十分考えられます。
当該脆弱性は、研究者の投稿によれば、メモリ破壊系バグと見られます。
当該脆弱性は、弊社調査によれば、セッション管理に関係すると見られます。
当該脆弱性を悪用できると主張するコードが、既にインターネット上に出回り始めています（2026/10/21 14時 日本時間 追記）。
当該脆弱性による攻撃は、session.upload_progress.enabled の設定のみでは緩和にとどまり、攻撃自体は回避できない見込みです（2026/10/21 14時 日本時間 追記）。

PHPは、WordPressで作ったサイトなど、世界中の多くのホームページで使われている仕組みです。家にたとえると、たくさんの家に共通で使われている「基礎の工法」のようなものです。

今回の欠陥は、危険度が10点満点で9.2。最も深刻な「緊急」レベルです。

詳しい中身はまだ公表されていませんが、外部から他人のサーバーを乗っ取れる種類の欠陥ではないかと見られています。