緊急（Critical）脆弱性2026-10-21
PHP 本体に認証不要の重大なリモートコード実行の脆弱性（php2shell）
PHP 本体の session.upload_progress の処理に、認証なしのリクエストだけで リモートコード実行ができる脆弱性が2件見つかった。mod_php・PHP-FPM・php-cgi など Web リクエストを処理する構成が広く対象になる。CVSS は 9.2（緊急）。
放置すると：自分のサイトを動かすサーバーで、攻撃者が自由にプログラムを実行できる状態になる。 パスワードもログインもなしに、サイトを偽ページや不正サイトに書き換えられたり、 保存した会員情報やデータベースを丸ごと盗まれたりするおそれがある。公開前に手口が 漏れ、すでに攻撃の下見が観測されている。
サーバー管理者：PHP を修正版へ更新して再起動する。更新できない古い版は公開を止める。個人・アプリ利用者：自分で WordPress などを立てている場合のみ対象。レンタルサーバー任せなら事業者の対応を確認する。
修正版：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35