結論
PHPの開発チームは2026年10月23日、PHP2Shellに続く新たな脆弱性（CVE-2026-115560）を公表しました。条件がそろうと外部からプログラムを動かされる恐れがありますが、修正版はまだ出ておらず、次の定期リリースで直す予定です。それまでの対策として、PHP公式は「session.upload_progress.enabled=0」の設定でアップロード進捗の機能を無効にするよう推奨しています。対象になるのは、セッションの保存形式を実行中に切り替える、ごく一部のアプリだけです。10月21日のPHP2Shell対策でこの設定をすでに入れていれば、追加の作業は不要です。
10月21日に公開されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618・CVE-2026-109619）の対応がまだ続くなか、PHPの開発チームは23日、別の脆弱性について注意を呼びかけました。海外のセキュリティメディアは「修正版の公開からわずか2日後に、未修正の脆弱性が見つかった」と相次いで報じています。
この記事では、PHP公式の発表をもとに、今回の脆弱性がどんなもので、誰が対象になるのか、何をすればよいのかを説明します。PHP2Shellそのものの説明と、サイトの確認手順はPHPに重大な脆弱性2件｜WordPressで今すぐ確認する3つのこと、レンタルサーバー各社の対応状況はPHP脆弱性の対応状況｜レンタルサーバー15社と主要サービスにまとめています。情報は2026年10月24日0時（日本時間）時点のものです。
何が発表されたのか
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月23日（PHP公式サイトのニュース「Informational advisory: Session upload progress」） |
| 識別番号 | CVE-2026-115560 |
| 起きうること | まれな条件のもとで、外部からプログラムを実行される（リモートコード実行）経路になりうる |
| 修正版 | 未公開。次の定期のバグ修正リリースで対応し、詳しい内容もそのときに公開する予定 |
| 影響を受ける版・深刻度の点数 | 未公表 |
| PHP公式の推奨 | 次のリリースまで session.upload_progress.enabled=0 を設定する |
| 悪用の状況 | 2026年10月24日0時（日本時間）時点で、悪用の報告は見当たらない |
PHP公式は今回の発表を「情報提供のためのアドバイザリ」と位置づけています。10月21日のPHP2Shellのように緊急の修正版を出すのではなく、条件の組み合わせが実際には起こりにくいため、通常のリリースの流れで直すと説明しています（PHP公式、2026年10月23日）。
対象になる3つの条件
PHP公式によると、問題が起きるのは、次の3つがすべてそろった場合です。
| 条件 | 意味 |
|---|---|
1. 設定で、セッションの保存形式（session.serialize_handler）を php_binary または php_serialize にしている |
ログイン状態などを覚えておく「セッション」のデータを、標準とは違う形式で保存する設定にしている |
2. プログラムの実行中に、ini_set() で保存形式を php に切り替えてから session_start() を呼んでいる |
アプリが途中で保存形式を切り替えてから、セッションを始めている |
3. アップロード進捗の機能（session.upload_progress）が有効のまま |
ファイルを送るときの進み具合を記録する機能が、初期設定どおり有効になっている |
3つ目の機能は初期設定で有効になっていますが、1つ目と2つ目は、アプリをわざわざそのように作らないと起きません。PHP公式も「実行中に保存形式を切り替えないアプリなら、アップロード進捗の機能を有効のまま使い続けてよい」としています。
WordPressのサイトは対象になるか
WordPress本体は、PHP標準のセッション機能を基本的に使っていません。そのため、一般的なWordPressのサイトが今回の条件に当てはまる可能性は低いと考えられます。ただし、プラグインや独自に作ったシステムの中には、セッション機能を使うものがあります。どのプラグインが使っているかを自社で調べるのは難しいため、迷う場合は、条件を調べるよりも、次に説明する無効化の設定を入れてしまうほうが確実です。
PHP2Shellとの関係
今回推奨された設定 session.upload_progress.enabled=0 は、10月21日にPHP2Shellの2件目（CVE-2026-109619）の緩和策として示されたものと同じです（PHP公式のアドバイザリ）。PHP公式は、すでにこの設定を入れているなら、そのままにしておけば追加の作業は不要としています。たとえばヘテムルは、PHP2Shellへの対応の中で、全バージョンでこの機能を無効にしたと公表しています（ヘテムル、2026年10月22日）。
注意したいのは、この設定だけではPHP2Shellは防げないことです。PHP2Shellの2件は、修正版（8.5.12・8.4.27・8.3.36・8.2.35）か、サーバー会社による修正でしか直りません。今回の設定は、PHP2Shellの修正に追加で入れるものと考えてください。
| 脆弱性 | 修正版 | いまやること |
|---|---|---|
| CVE-2026-109618（PHP2Shell） | 8.5.12・8.4.27・8.3.36・8.2.35（10月21日） | 修正版への更新、またはサーバー会社の修正を確認 |
| CVE-2026-109619（PHP2Shell） | 同上 | 同上。アップロード進捗の無効化は補助的な緩和策 |
| CVE-2026-115560（今回） | 未公開（次の定期リリースの予定） | アップロード進捗の機能を無効にする |
アップロード進捗の機能を無効にする手順
アップロード進捗の機能は、ファイルを送っている間に「何％まで進んだか」を画面に出すために使われるものです。無効にすると、この機能を使った進み具合の表示ができなくなりますが、ファイルのアップロード自体はこれまでどおりできます。WordPressのメディアの追加など、多くの画面はこの機能を使っていません。
レンタルサーバーを使っている場合
まず、サーバー会社のお知らせを確認してください。PHP2Shellへの対応で、すでにこの機能を無効にした会社もあります。お知らせに書かれていない場合は、サーバー会社に「session.upload_progress.enabled が無効になっているか」を問い合わせるのが確実です。管理画面で php.ini を編集できるサーバーもありますが、設定がどこまで反映されるかはサーバーの仕組みによって違うため、自己判断で変える前に、サーバー会社の案内を確かめてください。
VPSやクラウドなど、自社でサーバーを管理している場合
- php.ini（Webで使っているPHPの設定ファイル）に
session.upload_progress.enabled = 0を書く - PHP-FPMを使っている場合は、プールの設定ファイルに
php_admin_flag[session.upload_progress.enabled] = offと書く方法もある - 設定を変えたら、PHP-FPMやApacheを再起動して、すべてのPHPの処理に反映させる
- プログラムの中の
ini_set()や、.user.iniファイルでの設定には頼らない（リクエストを読み込む前に効かないため、PHP公式が明記）
コマンドラインの php -i で見える設定と、Webで動いているPHPの設定は、別のファイルになっていることがよくあります。Webで動くPHPに反映されたかを確かめてください。確認のために設定の一覧を表示するファイル（phpinfo）を置いた場合は、確認が終わったら必ず削除します。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
PHP2Shellの悪用の状況（10月24日時点）
今回の脆弱性について、悪用の報告は見当たりません。一方、10月21日に公開されたPHP2Shellについては、攻撃の試みが大量に観測されています。
| 発表元 | 内容 |
|---|---|
| Amazon | 修正版の公開の4日前に、攻撃の試みを観測（SecurityWeek） |
| Cloudflare | 攻撃の試みは公開後に急増し、10月22日早朝までに数百万件に達した（Cybernews） |
| watchTowrなど | 出回っている攻撃コードの多くは、実際にはプログラムの実行に至らない。侵入に成功した例は確認されていない |
| VulnCheck | 中国のIPアドレスからWebシェル（遠隔操作用のファイル）を置こうとする試みを1件確認したが、失敗した（Techaeris） |
| 米CISA | 10月22日時点で、実際に悪用された脆弱性の一覧には載っていない（Techaeris） |
出典はSecurityWeek（2026年10月21日）、Cybernews（2026年10月23日）、Techaeris（2026年10月23日）です。「試みはあるが、成功した侵入はまだ確認されていない」というのが現時点の全体像です。ただし、攻撃の試みが続いている以上、修正していないサーバーが狙われる状況は変わりません。
国内の公的機関の発表
国内では10月22日に、IPAが「PHPの脆弱性対策について（PHP2shell）」、JPCERT/CCが「PHPにおける複数の脆弱性に関する注意喚起」を公開しました。どちらも悪用を確認したとは書いておらず、修正版への更新を最優先とし、すぐに更新できない場合はアクセス制限やサービスの一時停止も検討するよう求めています（IPA・JPCERT/CC）。JPCERT/CCは、攻撃を受けた痕跡の目安として、異常な値を含むPHPSESSIDのCookie、不審なmultipart/form-data形式のリクエスト、PHPの処理を担うプロセスの異常終了や頻繁な再起動を挙げています。2026年10月24日0時（日本時間）時点で、両機関の発表に今回のCVE-2026-115560への言及はありません。
いま確認すべきこと
- PHP2Shellの修正（8.4.27などの修正版、またはサーバー会社の修正）が済んでいることを確認した
- サーバー会社のお知らせで、アップロード進捗の機能（session.upload_progress）が無効になっているかを確認した
- 自社でサーバーを管理している場合は、php.iniかFPMの設定で無効にし、PHPを再起動した
- Webで動くPHPに設定が反映されたことを確かめ、確認用のファイルを置いた場合は削除した
- 独自のシステムを使っている場合は、制作会社にセッションの保存形式を実行中に切り替えていないかを確認した
- 次のPHPの定期リリースで、今回の修正版が出たら更新する予定を立てた
よくある質問
うちのサイトは対象ですか？
対象になるのは、セッションの保存形式を設定で標準以外にし、さらに実行中に切り替えている、ごく一部のアプリです。一般的なWordPressのサイトが当てはまる可能性は低いと考えられます。ただし判断が難しいため、アップロード進捗の機能を無効にしておくのが確実です。
10月21日にPHPを更新しました。今回の分も直っていますか？
直っていません。今回の脆弱性の修正版はまだ出ておらず、次の定期リリースで対応される予定です。それまでは、session.upload_progress.enabled=0 の設定で守ります。
アップロード進捗の機能を無効にすると、サイトに影響はありますか？
ファイルを送るときの進み具合を表示する機能が使えなくなりますが、アップロード自体はできます。この機能を使った進捗表示を独自に作っている場合を除き、ほとんどのサイトで目に見える影響はありません。
この設定を入れれば、PHP2Shellの対策も不要になりますか？
なりません。PHP2Shellの2件は、修正版への更新かサーバー会社の修正でしか直りません。今回の設定は、PHP2Shellの修正に加えて入れるものです。
今回の脆弱性は悪用されていますか？
2026年10月24日0時（日本時間）時点で、悪用の報告は見当たりません。PHP公式も、条件の組み合わせは実際には起こりにくいとしています。一方で、PHP2Shellには大量の攻撃の試みが続いているため、そちらの修正は必ず済ませてください。
出典
- PHP「Informational advisory: Session upload progress」（2026年10月23日）
https://www.php.net/archive/2026.php - PHP「GHSA-6wmf-4rv5-p3rp：RCE via stale global state（CVE-2026-109619）」（2026年10月21日）
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp - IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html - JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）
https://www.jpcert.or.jp/at/2026/at260033.html - ヘテムル「PHPの脆弱性への対応に関するご報告」（2026年10月22日）
https://heteml.jp/info/detail/id/2954 - SecurityWeek「PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors」（2026年10月21日）
https://www.securityweek.com/php2shell-patches-land-as-first-exploitation-attempts-hit-sensors/ - Cybernews「Millions of PHP attacks recorded as new unpatched vulnerability discovered」（2026年10月23日）
https://cybernews.com/security/php2shell-attacks-php-new-vulnerabilities-found/ - Techaeris「PHP2Shell Fallout Continues as PHP Discloses a Third Flaw」（2026年10月23日）
https://techaeris.com/2026/10/23/php2shell-fallout-php-discloses-3rd-flaw/ - lilting channel「PHP CVE-2026-115560 only hits apps that switch serialize_handler to php at runtime」（2026年10月23日、個人による解説）
https://lilting.ch/en/articles/php-cve-2026-115560-serialize-handler
※本記事は2026年10月24日0時（日本時間）時点の公開情報にもとづいています。今回の脆弱性の詳しい内容と修正版は、PHPの次の定期リリースで公開される予定です。最新の情報はPHP公式サイトでご確認ください。
あわせて読みたい
ホームページの保守・移行のご相談
「設定の確認を任せたい」
からお気軽にご相談ください
株式会社仁頼は、WordPressサイトの制作・改善と、検索・AI検索からの集客を支援しています。PHPの設定の確認や更新、保守の進め方からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
