OrcaRouterのサイバーセキュリティチーム、OrcaCyber、PHPの重大なRCE脆弱性「PHP2Shell」の調査結果と防御検証ツールを公開

OrcaCyber Zero 1.5が自律的に概念実証（PoC）を構築した脆弱性を詳細解析。攻撃コードは公開せず、研究者向けにソース解析と防御検証スクリプトを提供

FlashLabs株式会社（本社：東京都千代田区、代表取締役：細井洋一、以下「FlashLabs」）は、米国のAI研究機関Continuum AIが開発し、当社が日本市場向けに独占提供するAI推論ゲートウェイ「OrcaRouter」のサイバーセキュリティ研究チーム「OrcaCyber Research」が、PHPの重大なリモートコード実行（RCE）脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）の調査結果と防御検証ツールを公開したことをお知らせします（2026年10月23日発表※1）。

「PHP2Shell」は、PHP本体に見つかった2件の重大な脆弱性の通称です。いずれも未認証のリモートコード実行（RCE）を許す可能性があり、PHP公式はCVSS v4.0で9.2（Critical）と評価しています※2。影響はPHP 5.4以降の広範なバージョンに及び、2026年10月21日に修正版（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）がリリースされました※2。

OrcaRouterは2026年10月21日、サイバーセキュリティ特化モデル「OrcaCyber Zero 1.5」が本脆弱性を自律的に調査し、動作する概念実証（PoC）を構築したことを発表しました※3。今回、その調査結果のソース解析、防御検証スクリプト、参考文献を公開します。攻撃コード（exploit）は公開しません。調査の詳細はOrcaCyber Researchブログ（日本語版あり）で、解析・検証用ツールはGitHubリポジトリで公開しています。

主なポイント

• PHP本体の2件の重大な脆弱性（CVE-2026-109618 / CVE-2026-109619・通称「PHP2Shell」）を調査※2

• いずれも未認証のリモートコード実行（RCE）を許す可能性があり、CVSS v4.0で9.2（Critical）※2

• PHP 5.4以降に影響。修正版はPHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（2026年10月21日リリース）※2

• 「OrcaCyber Zero 1.5」が自律的に調査し、動作する概念実証（PoC）を構築（2026年10月21日発表）※3

• 調査結果のソース解析・防御検証スクリプト・参考文献を公開。攻撃コードは公開しない※1

• 調査・再現実験は隔離されたラボ環境で実施※5

調査の内容

「PHP2Shell」は、PHPのメモリ管理に関わる2件の重大な脆弱性（CVE-2026-109618：OOM（メモリ不足）処理に起因する破壊／CVE-2026-109619：古くなったグローバル状態に起因する解放後使用（use-after-free））の通称です。どちらも、Webサーバー上で動作するPHPに未認証のリクエストを送るだけでリモートコード実行（RCE）に至る可能性があるとされ、PHP公式は両件ともCVSS v4.0で9.2（Critical）と評価しています※2。

影響を受けるのはPHP 5.4以降の広範なバージョンで、PHP製のWebアプリケーションを運用するシステムは広く対象となり得ます※2。PHP公式は2026年10月21日、修正版としてPHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12をリリースしました※2。

OrcaCyber Researchによる調査と公開物

OrcaCyber Researchは、サイバーセキュリティ特化モデル「OrcaCyber Zero 1.5」と「OrcaCyber Ultra 1.0」を用いて本脆弱性の調査を実施しました※3。調査では、PHP 8.4.26／Apache/mod_php／単一ワーカー構成の隔離されたDockerラボで、公開されている既存研究を基にした概念実証（PoC）の再現実験を実施。クラッシュログ（SIGABRT 1件・SIGSEGV 3件）や819,200バイトに及ぶ異常なセッションCookie、www-data権限でのコマンド実行の証拠を取得し、1件のリクエスト失敗で残ったメモリ参照が次のリクエストに引き継がれるという脆弱性のメカニズムを、観測可能な証拠とともに示しました※5。修正版であるPHP 8.4.27に対しては、4回の試行で異常な挙動が再現されなかったことを確認しています※5。

公開物は以下のとおりです。

• 調査レポート（ブログ）：脆弱性のメカニズム、証拠資料、防御策を解説。日本語版も公開※1

• GitHubリポジトリ：技術解析、RCEの証拠、防御検証ツール（PHPバージョン判定・レスポンス解析・Apacheクラッシュログ集計の3スクリプト）※1

いずれも攻撃コード（exploit）を含みません。防御側が環境を検証するために必要な情報とツールのみを公開する方針です※1。

開発の背景 — AIによる能動的なセキュリティ調査の時代へ

PHPは世界のWebサイトの大半で利用される言語基盤であり、その脆弱性の影響範囲は非常に大きくなります。本脆弱性の情報が公開される前には、実際の悪用を試みたとみられる観測も報告されています※4。

「OrcaCyber Zero 1.5」は、許可を得たセキュリティ調査の範囲で、既知の脆弱性の再現だけでなく未知のセキュリティ上の問題の能動的な発見・検証を自律的に行うよう設計されたモデルです※2。今回の調査は、AIが重大な脆弱性の理解・再現・検証を自律的に進められることを示す事例であり、OrcaRouterはその成果をセキュリティコミュニティと責任を持って共有します。

今後の展望

OrcaRouterは、OrcaCyberシリーズによる調査能力の継続的な向上と、攻撃コードを公開しない責任ある情報開示（Responsible Disclosure）を通じて、セキュリティ研究と防御の両面に貢献してまいります。PHPを運用されている方は、影響を受けるバージョンの修正版への速やかなアップグレードをご検討ください※2。

OrcaRouterについて

OrcaRouterは、米国のAI研究機関Continuum AIが開発し、FlashLabs株式会社が日本市場向けに独占提供するAI推論ゲートウェイ（AIモデルへのアクセスを1つにまとめる中継サービス）です。OpenAI互換のAPIを備え、Anthropic、OpenAI、Google Gemini、DeepSeek、Grok、Qwenなど200以上のLLM・生成AIモデルを単一のゲートウェイから利用できます。直近では、GPT-6.1 Sol、Claude Sonnet 5.5、Gemini 3.8 Flash、Grok 4.6、DeepSeek-V4.1-Flashなど、各社の最新モデルが公開後まもなくカタログに追加されています。OrcaRouterのAIモデル一覧からすべてのモデルを確認できます。

会社概要

FlashLabs株式会社

• 本社所在地：東京都千代田区一番町10番8号

• 代表取締役：細井洋一

• 設立：2023年7月

• 事業内容：AI応用研究所（Human-AI Hybridで営業・CXの自動化・自律化。OSS音声モデルChromaの開発元）

• URL：https://www.flashlabs.ai/

Continuum AI

• 「次の10年の知能システムを支える基盤インフラを開発する研究機関（米国）」

• OrcaRouterの開発・提供

• URL：https://www.continuum01.ai/

本件に関するお問い合わせ

FlashLabs株式会社 マーケティング部 小林光喜

E-mail：[e-mail]

※1 本公開は、OrcaRouter公式Xアカウント（@OrcaRouter）の発表（2026年10月23日）に基づきます。公開内容は予告なく更新される可能性があります。

※2 CVE情報・CVSSスコア・影響バージョン・修正版は、PHP公式のセキュリティアドバイザリ（GHSA-w8hw-w9fx-j79w / GHSA-6wmf-4rv5-p3rp）およびPHP公式のリリース発表（2026年10月21日）に基づきます。

※3 概念実証（PoC）構築の発表は、OrcaRouter公式Xアカウント（@OrcaRouter）の発表（2026年10月21日）に基づきます。

※4 本脆弱性の悪用を試みたとみられる観測に関する記述は、報道等の公開情報（2026年10月17日に観測）に基づくものです。

※5 調査・再現実験は隔離されたラボ環境（PHP 8.4.26／Apache/mod_php／単一ワーカー構成のDocker）で実施されたものであり、実在のシステムへの侵害や被害を主張するものではありません。モデルごとの実行トレースは公開されておらず、自律的な脆弱性発見を証明するものではありません。