本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
セキュリティ企業VulnCheckは、PHPの重大な脆弱性「PHP2Shell」のうちCVE-2026-109618を悪用し、ASLRが有効なx86-64サーバーでも遠隔コード実行を可能にするエクスプロイトを開発した。同社はこれを「Initial Access Intelligence」の顧客に限定して提供している。ASLRによる防御を突破したことで、脆弱なPHP環境の更新が一段と重要になっている。
ASLRが有効な本番環境で攻撃を実証
PHP2Shellは、CVE-2026-109618とCVE-2026-109619の2つの脆弱性の総称だ。VulnCheckは初期分析で、ARM64環境とASLRを無効にしたx86環境における遠隔コード実行を再現していた。
ASLRはメモリ上のアドレス配置をランダム化し、攻撃に必要な位置の特定を難しくする保護機構だ。VulnCheckが今回開発したエクスプロイトは、メモリ情報漏えいと遠隔コード実行を組み合わせ、ASLRが有効なx86-64環境でもCVE-2026-109618を悪用できるという。
同社によると、PHP 8.4.26でエラー表示を無効にした推奨本番設定「display_errors=off」でも成功した。10月22日（米東部時間）の更新では、PHP 8.4.10から8.4.26まで変更なしに動作すると報告している。新しい手法はARM64でもメモリ情報漏えいが機能するが、遠隔コード実行はまだ機能していないという。
Datadogも10月21日に公開した独立研究で、両脆弱性の再現と悪用条件を説明している。同社はASLRがメモリアドレスの特定を難しくする一方、メモリ情報漏えいが攻撃の手掛かりになり得ると指摘した。これはVulnCheckの顧客限定エクスプロイトとは別の研究成果だ。
VulnCheckのエクスプロイト開発ディレクター、スペンサー・マッキンタイア氏は、攻撃者がこの脆弱性に時間とAIのトークンを費やしているとの見方をThe Registerに示し、悪用手法の高度化に警戒を促した。
認証や設定変更では不十分、PHPの更新が必要
Datadogは、アプリケーション側の認証では確認済みの攻撃経路を防げないと報告している。悪意あるリクエストがアプリケーションコードの実行前にPHP本体で処理されるため、ログイン機能だけでは保護できないという。
PHP公式は10月21日に、両脆弱性を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。PHP 8.1以前は通常サポートを終了しており、利用者はサポート対象版への移行や、提供元による修正済みパッケージの確認が必要となる。
アップロード進捗機能の設定「session.upload_progress.enabled」を無効にする措置も、特定の攻撃経路を制限する暫定対策にとどまる。PHP公式とDatadogはいずれも、設定変更だけでは完全に保護できず、修正済みバージョンへの更新が必要だとしている。
参考・出典
- PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619
- Security advisory: Critical remote code execution vulnerabilities, update now
- PHP2Shell – Critical vulnerabilities in PHP: detection, analysis, and remediation
- PHP2Shell exploit bypasses protections designed to stop remote code execution
- php2shell vulnerabilities – NCSC-NL
- Critical Vulnerabilities in PHP (PHP2Shell)
