CVSS

PHP2Shell の CVSS：10.0 ではなく 9.2

PHP2Shell の 2 つの CVE はいずれも公式に CVSS 4.0 で 9.2（緊急）です。目にしたかもしれない 10.0 は、公開前日の情報漏えいに由来します。

最終確認 2026-10-22

スコア出所状態
9.2PHP セキュリティアドバイザリ GHSA-w8hw-w9fx-j79w と GHSA-6wmf-4rv5-p3rp（CVSS 4.0）。PHP Foundation、watchTowr、多くのベンダーもこの値を採用。公式
10.010 月 20 日 15:00 UTC 頃から、アドバイザリ公開前にフォーラムや SNS で出回った CVE 番号。初期のニュース記事がそのまま引用。誤り

ベクトルを指標ごとに解説

両 CVE 共通： CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

指標この脆弱性での意味スコアへの影響

AV:N

Attack Vector: Network（ネットワーク）

通常の HTTP リクエストでインターネット経由で到達できます。スコアを上げる

AC:H

Attack Complexity: High（高）

標的ごとのメモリ配置に合わせてエクスプロイトを調整する必要があり、リクエスト 1 つをコピーすれば済むものではありません。スコアを下げる

AT:P

Attack Requirements: Present（前提条件あり）

成否は攻撃者が制御できない構成条件（SAPI、メモリ制限、ワーカーの再利用）に左右されます。スコアを下げる

PR:N

Privileges Required: None（不要）

アカウントもログインも不要です。スコアを上げる

UI:N

User Interaction: None（不要）

誰も何もクリックする必要がありません。スコアを上げる

VC:H / VI:H / VA:H

脆弱なシステムへの影響：High（高）

PHP サーバーの機密性・完全性・可用性がすべて失われます。スコアを上げる

SC:N / SI:N / SA:N

後続システムへの影響：None（なし）

他システムへの横展開はスコアに含まれませんが、実際には盗まれた認証情報でそれが可能になることが多いです。スコアを下げる

なぜ 10 ではないのか

スコアを下げているのは 2 つの指標です：AC:H（試行を繰り返して標的ごとのメモリ配置に合わせる必要がある）と AT:P（成否が PHP の構成——SAPI、メモリ制限、ワーカーの再利用——に左右される）。

攻撃者にとって最も重要な項目はすべて最悪の値です：ネットワーク経由で到達可能、権限不要、ユーザー操作不要、サーバーへの影響は全面的。

実務上の意味

「悪用が難しい」は熟練した攻撃者にとってはただの減速帯にすぎず、エンバーゴは 1 日早く破られました。10 点として扱ってください：まずパッチを当て、スコアの議論はその後で。

よくある質問

PHP2Shell の公式 CVSS スコアは？+

CVSS 4.0 で 9.2（緊急）です。CVE-2026-109618、CVE-2026-109619 とも、PHP セキュリティアドバイザリで公表されたとおりです。

なぜ一部のサイトは CVSS 10.0 と報じたのですか？+

CVE 番号が協調公開の約 1 日前、2026 年 10 月 20 日に、誤った 10.0 のスコアとともに漏れたためです。漏えい情報をもとに書かれた記事がそれを引用しました。PHP Foundation は後に 10.0 は誤りだと確認しています。

10.0 ではなく 9.2 なら、急がなくてもよいのですか？+

いいえ。差は、エクスプロイトを標的ごとに調整する必要があること（高い複雑性、攻撃の前提条件あり）によるものです。ネットワーク経由で到達でき、認証不要のリモートコード実行であることに変わりはなく、初期の攻撃も報告されています。最優先でパッチを適用してください。

関連ページ