本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
PHPの重大な脆弱性2件「PHP2Shell」を巡り、国内外の企業や政府が修正対応を急いでいる。ロイターが2026年10月22日に報じた。日本でも一部企業が予防的にサービスを停止した。Cloudflareのマシュー・プリンスCEOは、悪用の試行が数百万件に達したと説明。Amazonは、一般公開4日前の10月17日にも悪用試行を観測したと発表している。
認証なしのコード実行につながる恐れ
問題となったのは、PHPのHTTPリクエスト処理に関係するCVE-2026-109618とCVE-2026-109619の2件だ。前者はメモリー不足時に初期化途中のデータが不適切に扱われる問題、後者は解放されたメモリーへの参照が残り、後続のリクエストで使われる問題である。
Cloudflareによると、細工された通信によって情報の露出や処理の停止、認証なしでの遠隔コード実行につながる可能性がある。JPCERT/CCは、コードが実行された場合、その権限はPHP実行プロセスの権限となると説明している。
Cloudflareは、顧客を狙う攻撃通信に加え、防御を回避するために攻撃データを変更する動きも観測した。ロイターが伝えたプリンスCEOの説明によると、悪用の試行は公表前の10時間に数千件、公表後45分で数万件、2時間以内に数十万件に達し、その後は数百万件に上った。これらは攻撃の試行件数であり、侵害に成功した件数ではない。
Amazon Threat Intelligenceも、10月17日にハニーポットへ向けられた悪用試行を観測したと発表した。実際の運用環境で攻撃が成功したかどうかは確認されていないが、公開前から試行が存在したことを示す情報となっている。
ロイターによると、野村、三菱UFJフィナンシャル・グループ、ANA、JR東日本などは、緊急措置として一部のインターネットサービスを一時停止すると説明した。これらは予防的な対応として報じられている。
修正版への更新と侵害調査を呼びかけ
PHPは10月21日付の公式告知で、2件の脆弱性を修正した8.5.12、8.4.27、8.3.36、8.2.35の公開を発表し、直ちに更新するよう強く推奨した。22日のロイター報道時点では、各組織が修正対応を進めている段階だった。
JPCERT/CCは10月22日付の注意喚起で、LinuxディストリビューションやPHPを組み込んだ製品についても提供元の対応情報を確認するよう求めた。また、PHP 8.1以前からサポート対象版への移行を推奨している。
PHP 7.4、8.0、8.1向けには限定的な緩和策も提供されているが、対処できるのは特定の攻撃経路にとどまる。Cloudflareも、通信を防御するWAFは補助的な対策であり、PHP自体の更新に代わるものではないとしている。
JPCERT/CCは、速やかな対策の適用と侵害の有無の調査を呼びかけた。攻撃の痕跡がログに残らない場合もあり、既知の痕跡が見つからないだけで安全とは断定できない。Amazonも、少なくとも10月17日までさかのぼって調査するよう推奨している。
参考・出典
- PHP: News Archive – 2026
- PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
- Cloudflare deploys protections against php2shell vulnerability
- Hacking attempts surge as companies, governments rush to patch PHP flaws
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
- Today’s PHP Security Release, and How We’re Strengthening PHP Security
- Critical Vulnerabilities in PHP
- Hackers Exploited the PHP Vulnerabilities Days Before They Were Patched
