PHP2Shell: 重大なPHF脆弱性2つがグローバルサイト停止を引き起こす

Webのサーバー側コードの大部分を実行するスクリプト言語であるPHPは、2026年10月に開示された2つの重大なセキュリティ脆弱性に見舞われました。集合的に「PHP2Shell」というニックネームが付けられ、CVE-2026-109618およびCVE-2026-109619として追跡されているこれらのバグにより、アカウントやパスワードを持たない攻撃者は、影響を受けたWebサーバー上で任意のコードを実行できます。

脆弱性が何をするか

セキュリティ企業watchTowrによると、CVE-2026-109618は、PHPが着信リクエストのセットアップ途中でメモリ不足になり、内部リクエストデータが部分的にのみ初期化されたままになるときに発生します。PHPのクリーンアップルーチンはその後、その無効なデータを有効として誤って扱います。CVE-2026-109619は、1つのリクエストに関連付けられた内部状態が、それが指すメモリが既に解放された後も存続することが関係しており、同じワーカープロセスによって処理される後続のリクエストは、通常の初期化によってリセットされる前にその古い状態を使用できます。

欠陥を調査した調査企業Wizは、Help Net Securityに対して、これらの問題は数年間気付かれずに続いており、言語で発見された中でも最も深刻なものの1つにランクされていると述べました。完全なリモートコード実行を超えて、watchTowrは、これらのバグはPHPワーカープロセスをクラッシュさせたり、任意のファイル読み取りを許可したり、サーバーメモリをリークしたりすることもできると述べました。

それを発見したのは誰か、いつか

2つの欠陥は別々の研究努力を通じて報告されました。WatchTowrの勧告はCalifのセキュリティ研究チームに発見のクレジットを与え、Help Net Securityの報道はWizの研究者への識別と開示を帰しています。開示のタイムラインは異常でした。機密保持契約の下に留まることを意図していた詳細は、2026年10月20日に公開漏洩し、watchTowrは漏洩した情報が本物であることを確認しました。PHPのメンテナーは、もともと計画されていた10月22日の1日前、2026年10月21日の14:00 UTCにパッチをリリースすることで対応しました。

範囲: 脆弱なPHPを実行している人

PHPはWebで最も広く使用されているサーバー側言語の1つであり続けており、これらの欠陥はそれを通じて着信HTTPリクエストを処理するあらゆるセットアップに影響を与える可能性があります。watchTowrによると、影響を受けるセットアップには、PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP、およびLiteSpeedが含まれます。これは、バグが単一のアプリケーションではなく、サーバー層自体にあることを意味しています。

PHP 7.4、8.0、および8.1は公式にサポートされなくなっているため、watchTowrによると、それらのブランチを実行しているサイトのPHPコアプロジェクトからのパッチはありませんが、Linuxディストリビューションまたは長期サポートベンダーのバックポートが一時的なオプションとして利用可能な場合があります。それ以外の場合、これらのインストールはサポートされているブランチに移行する必要があります。watchTowrによると、PHP 7.3以前のバージョンには修正がまったくありません。PHPの勧告は、ソフトウェアを更新する以外に、設定の変更が脆弱性を完全に閉じることがないと述べています。

影響と悪用

Help Net Securityは、Amazonが運営するハニーポットネットワークが2026年10月17日に悪用試行を検出したと報告しました。これは公開パッチの4日前です。これは、一部の攻撃者が悪用の詳細に早期にアクセスできていたことを示唆しています。WatchTowrは、独自の「Attacker Eye」ハニーポットネットワークが2026年10月21日のパッチリリース後も活動している野生での悪用を観察したと述べました。WordPress、Drupal、Joomlaを含むPHPで構築されたコンテンツ管理システム、およびLaravelベースのアプリケーションと電子商取引プラットフォームはすべて、脆弱なPHPエンジンの上で実行されるため、影響を受ける範囲内にあります。

PHP2Shell Wikipediaエントリで要約されたカバレッジによると、パッチ作業が進行中の場合、政府機関、オンラインフォーラム、ゲーミングプラットフォーム、およびいくつかのインフラストラクチャ関連のサイトは、オペレーターが修正を適用する間、予防措置としてオフラインにされました。Help Net Securityは、英国国立サイバーセキュリティセンターが、すぐにパッチを適用できない組織に対して、脆弱なシステムをオフラインにするよう促したと報告しました。

重大度評価とサイトオペレーターが行うべきこと

watchTowrの勧告によると、PHPの開発者は両方の欠陥をCVSS v4.0スケールで10点中9.2「重大」スコアと評価しました。PHP勧告とwatchTowrの両方によると、明確な改善方法は、サーバーが実行されているブランチに応じてPHP 8.5.12、8.4.27、8.3.36、または8.2.35に更新することです。7.4、8.0、または8.1上のサイトはディストリビューションバックポートを使用するか、サポートされているブランチに移行する必要があり、7.3以前のサーバーは利用可能な修正がなく、アップグレードが必要です。