答え公開済み3 時間前Last edited 3 時間前24 ソース

PHP2Shellの脆弱性、何が危険でどう対応すべきか

PHP2Shellは、認証なしのリモートコード実行につながるおそれがある2件の脆弱性で、CVSS 4.0の評価は9.2（Critical）です。修正済みバージョンはPHP 8.5.12、8.4.27、8.3.36、8.2.35。PHPの稼働環境を洗い出し、ベンダーが提供する修正を優先して適用してください。

公開者GPT-6 Luna で編集GPT Image 2 で画像を生成

Studio Global AIで検索して事実確認さらにトレンドページを見る

研究の答え

重要なポイント

PHP2Shellは、認証なしのリモートコード実行につながるおそれがある2件の脆弱性で、CVSS 4.0の評価は9.2（Critical）です。
修正済みバージョンはPHP 8.5.12、8.4.27、8.3.36、8.2.35。PHPの稼働環境を洗い出し、ベンダーが提供する修正を優先して適用してください。

Editorial illustration of PHP code and a server security alert — What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthentiIllustration of the PHP2Shell security incident.
AI プロンプト
Create a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
openai.com

PHP2Shellは、PHPのリクエスト処理に見つかった2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619の総称です。影響を受けるサーバーでは、認証されていない攻撃者がコードを実行できるおそれがあります。脆弱性の詳細が予定より早く公になったことを受け、PHPは2026年10月21日に緊急修正版を公開しました。攻撃の試みが報告されたことは、システムへの侵入が成功した証拠とは別です。4 6 15

PHP2Shellで何が起きるのか

影響するのは特定のウェブサイトやアプリではなく、PHPそのものです。セキュリティ勧告によると、PHP 5.4以降が対象で、ウェブ通信を処理するシステムが細工されたリクエストを受け取ることで、脆弱性を突かれる可能性があります。8 14

2件の問題の仕組みは異なります。CVE-2026-109618はメモリ不足時の破損に関係し、CVE-2026-109619は古いグローバル状態が残る問題に関係します。いずれもCVSS 4.0で9.2と評価され、深刻度は「Critical」です。4 15

PHPは広く使われていますが、ここで確認できる情報だけでは、PHPを使うウェブサイトの割合を信頼できる形で示すことはできません。割合の算出には異なる母数が使われる場合があるため、見出しの数字をそのまま脆弱なサイト数とみなすべきではありません。運用者にとって重要なのは、ウェブリクエストを処理するPHP環境に未修正のものが残っていないかどうかです。3 14

公開の前倒しと緊急パッチ

脆弱性の存在は10月20日に公になりました。当初予定されていた10月22日の公開より早く、PHPは翌21日に緊急修正版をリリースしました。6 7 16

Cloudflareは、公開に関する説明の中でCalif、Wiz、OpenAI、Quarkslabに謝意を示しました。当時の報道では、CalifによるAI支援を使った調査と、Wizによる独立した発見・報告が伝えられています。ただし、提供された情報からは、各参加者が技術面で具体的にどのような役割を担ったかまでは確認できません。14 20

10月21日に公開された修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。15 16 管理者は本番環境で稼働するPHPのバージョンを確認し、該当する修正版、またはベンダーが提供することを確認済みのバックポートを適用してください。ホスティング事業者がセキュリティ修正を既存パッケージにバックポートしている場合、表示上の基本バージョンが古いままのことがあります。バージョン表示が古く見える場合は、事業者の案内も確認しましょう。1

攻撃の試みと侵入成功は別

10月21日のセキュリティ報道では、この脆弱性を狙った攻撃の試みが伝えられました。Cloudflareは攻撃通信を観測したとし、SecurityWeekは複数のサイバーセキュリティ企業がPHPのパッチ公開前に試みを確認したと報じています。14 15

一方、侵入が成功したかどうかについて、当時の情報から一つの結論を出すことはできません。10月21日の報道をまとめた後続記事によると、当時、米国のCISAとカナダ・サイバーセキュリティ・センターは悪用を観測または特定していないとしていましたが、セキュリティ企業からは攻撃の試みが報告されていました。攻撃リクエストが試されたことは侵入成功の証明ではなく、政府機関が観測していないとする発表も、侵害が一切なかったことの証明ではありません。25

パッチ適用、資産の洗い出し、一時的な防御

米国家安全保障局（NSA）は、ベンダーのパッチ適用を優先し、脆弱なPHPバージョンに依存するハードウェアやソフトウェアのサービスを洗い出すよう組織に勧告しました。17 CISAも、直ちにパッチを適用するよう促したと報じられています。20 影響を受けるサービスをすぐに修正できない場合は、露出した状態で稼働させ続けるのではなく、一時的にオフラインにする対応が報じられました。7 21

Cloudflareによると、無料・有料プランのWAF（ウェブアプリケーションファイアウォール）を利用する顧客には、10月21日 03:02 UTCからPHP2Shellへの標準防御が適用されました。14 これは防御を重ねる手段にはなりますが、脆弱なPHPの更新に代わるものではありません。フィルタールールが有効だからといって、サーバー本体が安全になったと判断しないでください。14 17

通常のPHPホスティング以外にも、影響確認が必要な製品がありました。Help Net Securityは、Palo Alto NetworksがPAN-OSとPanoramaの全バージョンが影響を受けるとし、報道時点では修正版がまだ提供されていないと説明したことを伝えています。33 アプライアンスやマネージドサービスへの影響と対策は製品ごとに異なります。そうした製品を利用する組織は、PHPパッケージの更新だけで解決すると考えず、各ベンダーの勧告に従ってください。

まず確認すべきこと

PHP2Shellは、緊急のパッチ適用が必要な問題として扱うべきです。PHPを使うサービスを洗い出し、修正版または適用が確認されたベンダーのバックポートを導入してください。一時的な隔離や通信フィルタリングを使う場合も、あくまで暫定策として位置づけましょう。10月21日の報道は攻撃の試みがあったとの懸念を裏づけていますが、試みのすべてを侵害確認済みとみなす根拠にはなりません。1 15 17 25

Studio Global AI

研究を続けてください

このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。

Studio Global AIで検索して事実確認

人々も尋ねます