答え公開済み25 ソース
PHPの重大脆弱性「PHP2Shell」—影響と修正版を解説
PHPは2026年10月21日、ログインなしでコードを実行されるおそれがある重大な脆弱性2件の修正版を公開。翌22日には、悪用を試みる通信が急増したとの報告が相次ぎました。 修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。サーバーのPHPバージョンを確認し、利用中の系列に対応する修正版への更新が必要です。
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- PHPは2026年10月21日、ログインなしでコードを実行されるおそれがある重大な脆弱性2件の修正版を公開。翌22日には、悪用を試みる通信が急増したとの報告が相次ぎました。
- 修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。サーバーのPHPバージョンを確認し、利用中の系列に対応する修正版への更新が必要です。
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shellは、PHPの重大な脆弱性2件、CVE-2026-109618とCVE-2026-109619の総称です。脆弱性の詳細が公表前に漏れたことを受け、PHPは2026年10月21日に修正版を公開。翌22日には、攻撃を試みる通信が急増したとの報告が出ました。PHPは世界のウェブサイトの約70％で使われていると推定されますが、この数字は影響を受けたサイトや侵害されたサイトの割合を示すものではありません。1
2
9
18
19
PHP2Shellで何が起きるのか
2件の脆弱性は、いずれも認証なしで悪用される可能性があるリモートコード実行（RCE）の問題です。影響を受ける条件下では、攻撃者がログインしなくても脆弱なサーバー上でコードを実行するおそれがあります。一方はメモリ不足時の破損、もう一方は古いグローバル状態に関連する問題と説明されています。6
7
報道では、影響範囲はPHP 5.4までさかのぼるとされています。ただし、潜在的な影響範囲が広いことは、すべてのPHPサイトが設定にかかわらず脆弱だった、あるいは実際に攻撃を受けたことを意味しません。14
21
公開された修正版と、予定より早い情報流出
PHPは10月21日、8.5.12、8.4.27、8.3.36、8.2.35を公開しました。1
6 当初予定されていた10月22日の公表を前に、10月20日に脆弱性の情報が漏れたため、協調開示の予定が崩れ、緊急の修正版公開につながりました。
2
9
13
PHPを運用している組織は、ウェブからアクセスできる各サーバーでPHPのバージョンを確認し、利用中の系列に対応する修正版を適用する必要があります。特定のウェブサイトやアプリだけの問題と決めつけず、ウェブリクエストを処理するPHP環境を確認することも勧められています。7
11
AIを使った調査と、専門家による対応
OpenAIによると、同社の「Patch the Planet」プログラムの一環で、セキュリティ企業CalifがGPT-5.6 Solを使って脆弱性の一つを発見しました。また、Wizも独立して2件の脆弱性を発見し、報告したとしています。修正とリリースはPHPのメンテナーが主導しました。48 OpenAIは、メンテナーや研究者、セキュリティ関連企業と約2カ月にわたり調整していたとも説明しています。
48
これは、脆弱性調査にAIが活用された事例です。AIだけで発見から検証、修正までを完了したという意味ではありません。報告では、AIツールに加え、セキュリティ企業の研究者やPHPのメンテナーが調査と調整に関わっています。35
48
悪用の試みとサービス停止の報告
Cloudflareは、脆弱性の詳細が公表される前には攻撃の試みが数千件規模だったのに対し、その後は数百万件に増えたと報告しました。またAmazonでは、公表の4日前に攻撃の試みが確認されたと伝えられています。いずれも攻撃の試みに関する報告であり、侵害が成功した件数を示すものではありません。19
セキュリティ企業は、おとりとして設置する「ハニーポット」だけにとどまらない攻撃活動も報告しましたが、当時、政府機関による確認はなかったとされています。17 これとは別に、予防措置として政府のウェブサイトやサービスを停止したとの報道もあり、英国では30を超える政府サービスがオフラインになったと伝えられました。
23
米国家安全保障局（NSA）は、攻撃者がこの脆弱性を利用してウェブサーバーを掌握し、データを盗み、サービスを妨害したり、企業ネットワークのさらに深い場所へ侵入したりするおそれがあると警告しました。USA Todayによると、NSAは速やかに修正できないサイトに対し、オフラインにするよう助言しました。18
23
今回の報道からは、対応が急速に進み、攻撃を試みる通信が大きく増えたことがうかがえます。一方、世界全体で侵害に成功した件数は明らかになっていません。PHPの利用割合に関する推定を、実際の脆弱性への露出や侵害の割合と混同しないことが重要です。
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「PHPの重大脆弱性「PHP2Shell」—影響と修正版を解説」の短い答えは何ですか?
PHPは2026年10月21日、ログインなしでコードを実行されるおそれがある重大な脆弱性2件の修正版を公開。翌22日には、悪用を試みる通信が急増したとの報告が相次ぎました。
最初に検証する重要なポイントは何ですか?
PHPは2026年10月21日、ログインなしでコードを実行されるおそれがある重大な脆弱性2件の修正版を公開。翌22日には、悪用を試みる通信が急増したとの報告が相次ぎました。 修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。サーバーのPHPバージョンを確認し、利用中の系列に対応する修正版への更新が必要です。