PHP2Shell
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2026/10/26 07:08 UTC 版)
|
この記事は最新の出来事を扱っています。
|
PHP2Shell攻撃実証ツールのロゴ
|
|
| CVE 識別子 | CVE-2026-109618 CVE- 2026-109619 |
|---|---|
| 発見日時 | 2026年8月 |
| 修正日時 | 2026年10月21日 |
| 発見者 | |
| 影響を受ける ソフトウェア |
PHP バージョン 5.4 – 8.5[1] |
| ウェブサイト | php2shell |
PHP2Shell（ピーエイチピー・ツー・シェル）は、2026年10月に公表された、プログラミング言語PHPの内部に存在する2件の重大な脆弱性の総称である。共通脆弱性識別子（CVE）ではCVE-2026-109618およびCVE-2026-109619として知られ、特定の条件下で認証を受けていない攻撃者による遠隔コード実行（RCE）を可能にする。いずれも共通脆弱性評価システム（CVSS）バージョン4.0において深刻度9.2と評価された[2]。
その存在は2026年10月20日に公表され[2]、翌21日には緊急パッチと脆弱性の詳細が公開された[3]。
これらの脆弱性は、認証を受けていない第三者による遠隔からのコード実行を可能にするおそれがあり、世界各国の政府機関、企業、オンラインサービスなどで、修正プログラム適用のための一時的なサービス停止が実施された[4]。
概要
PHP2Shellの2件の脆弱性はいずれもPHP本体のメモリ管理やエラー処理に関係している。PHPが内部で使用するメモリの状態を適切に管理できないことにより、メモリ破損や解放済みメモリへのアクセスが発生し、認証なしの遠隔コード実行（RCE）を許す可能性がある[3]。その一部は、2012年3月に公開されたPHP 5.4の時点ですでに存在していた[1][5]。
- CVE-2026-109618
- メモリ不足（out-of-memory、OOM）時の処理に起因する脆弱性である。PHPがリクエストを処理する途中でメモリの割り当てに失敗すると、内部データの初期化が完了しないまま処理が中断される場合がある。その後、リクエスト終了時の後処理で不正な状態のデータが正常なものとして扱われると、メモリ破損が発生し、遠隔コード実行につながる可能性がある[6]。この脆弱性は、2018年12月に公開されたPHP 7.3から存在していた[7]。
- CVE-2026-109619
- リクエスト間で内部状態が不適切に保持されることに起因する脆弱性である。致命的なエラーなどによって、あるリクエストで使用したメモリへの参照が、そのメモリの解放後もPHPの内部状態に残る場合がある。同じワーカープロセスが次のリクエストを処理する際にその参照を使用すると、解放済みメモリへのアクセス（Use After Free）が発生し、遠隔コード実行につながる可能性がある[8]。この脆弱性は、2012年公開のPHP 5.4からセッション処理に存在し、2016年公開のPHP 7.1からはデシリアライズ処理にも存在していた[9]。
これらの脆弱性を悪用された場合、攻撃者が認証なしでサーバー上のコードを実行したり、プロセスのメモリ上に存在する情報へアクセスしたりする可能性がある[10]。PHP開発チームによると、PHP-FPM、mod_php、php-cgiなどの実行環境が影響を受ける。特にApache HTTP Serverのmod_phpで危険性が高いと評価されており、ウェブアプリケーションのプログラムが実行される前の段階で、認証を必要とせずに攻撃を成立させる手法が実証されている[3]。
PHPはウェブアプリケーションやコンテンツ管理システム（CMS）などで広く使用されているため、脆弱性の影響範囲は広いとされた。
「PHP2Shell」は、研究者が認証なしの遠隔コード実行を実証するために用いたエクスプロイトスクリプトに付けた名称で、PHP本体の脆弱性に関する研究全体の名称としても使われている[11]。
発見
2024年、PHP Foundationが主導した外部セキュリティ監査で指摘された問題を修正する過程で、PHPのコア開発者がCVE-2026-109618の原因となるメモリ不足時の処理に問題があることを発見した。この問題を悪用できる可能性は検討されたものの、具体的なエクスプロイト（脆弱性を悪用する攻撃手法やプログラム）は見つけられていなかった。開発チームは複数の修正方法を検討したが、従来のプログラムとの互換性の維持、新たなサービス拒否攻撃の危険性、外部拡張モジュールへの影響などの問題があり、修正作業は難航した[12]。
2026年には、CVE-2026-109618を利用した遠隔コード実行の攻撃経路が相次いで報告された[12]。7月30日、OpenAIの「Patch the Planet」プロジェクトの一環として、セキュリティ企業CalifがPHPの監査を開始した。同社の研究者は8月11日、2024年に認識されていたメモリ不足処理の問題と同じ根本原因を利用する遠隔コード実行のエクスプロイトを報告した。OpenAIも同じ根本原因を独立に報告し、クラウドセキュリティ企業Wizは8月24日に追加の攻撃経路を報告した。これらの報告によって脆弱性の重大性が明らかになり、修正作業が最優先で進められることになった[12]。
CVE-2026-109619については、Califが2026年8月21日に2件目の脆弱性としてPHP開発チームに報告した[13]。Wizも独立にこの脆弱性を発見し、8月24日にPHP開発チームに報告した[1][14]。
脆弱性の調査には人工知能（AI）も利用された。Wizは、調査とエクスプロイトの開発にGemini 4 Argon、GPT-5.6 Sol、Wiz Atlasを使用したと報告している[1][15]。
公表と修正
情報流出による公開の前倒し
当初、2件の脆弱性は2026年10月22日に修正版とともに公表される予定だった。しかし、10月20日15時ごろ（UTC）、Hacker Newsなどのオンライン掲示板やSNSで、脆弱性の存在とCVE識別子が広まった。このとき流出した情報には、誤った公開予定時刻とCVSS値10.0が含まれていたが、技術的な詳細は明らかになっていなかった[12]。
セキュリティ企業watchTowrも、公表前の段階で2件の脆弱性をCVSS 10.0と説明していた。しかし、PHP開発チームによる正式な評価はいずれもCVSS v4.0で9.2（緊急）だった[16][12]。
情報流出を受け、PHP開発チームは10月20日19時30分（UTC）に事前告知を公開し、修正版の公開予定を10月22日から翌21日14時（UTC）に前倒しした。利用者には、修正版の公開後速やかに更新できるよう準備を呼びかけた[12][2]。
その後、20日20時ごろ（UTC）、Califがエクスプロイトの概念実証（PoC）動画を誤って公開した。動画は削除されたものの、その複製がSNS上で拡散し、21日には複数の概念実証（PoC）が出回った[12]。
また、21日7時41分（UTC）には、ソフトウェア供給企業Chainguardが事前に提供されていた修正を含むコンテナイメージを、合意された公開時刻より早く公開した。これによって修正内容を解析することが可能になり、PHP Foundationは協調的な情報公開の手順に反する行為だったと批判した[12]。
攻撃の観測
セキュリティ企業Sansecは、修正版の公開後15分以内に大規模な攻撃が始まる可能性があると予測した[17]。
修正版の公開前から、脆弱性の悪用を試みる攻撃も観測されていた。Amazon Threat Intelligenceは、同社のハニーポット「MadPot」の記録から、10月17日に遡るPHP2Shellの攻撃試行を確認したと21日に発表した。ただし、これらの攻撃が実際のシステムに対して成功するものだったかどうかは不明としている[18]。
Cloudflareは、10月初旬から暫定的な対策としてWebアプリケーションファイアウォール（WAF）の防御ルールを展開し、修正版の公開前の10月21日3時2分（UTC）からは、WAFを利用する全顧客に標準で適用した。同社は実際に攻撃トラフィックを観測したと報告している[19]。
セキュリティ企業watchTowrも、21日にはハニーポットネットワークで脆弱性の悪用を観測したと発表した[20]。
修正版の公開後、脆弱性の悪用を試みる通信は急増した。Cloudflareの最高経営責任者（CEO）マシュー・プリンスによると、同社のネットワークでは、脆弱性の公表前10時間に数千件だった攻撃試行が、公表後45分間で数万件、2時間以内に数十万件に増加し、10月22日の発表時点では数百万件に達した[21]。
一方、アメリカのサイバーセキュリティ・社会基盤安全保障庁（CISA）は、10月21日時点では同機関による悪用の確認はないと説明していた[22]。
修正版の公開
2026年10月21日、PHP開発チームは、2件の脆弱性を修正したPHP 8.2.35、8.3.36、8.4.27、および8.5.12を公開し、利用者に速やかな更新を呼びかけた[3]。同日、2件の脆弱性の技術的な詳細もGitHubのセキュリティアドバイザリで公開された[6][8]。
PHP 7.4、8.0、および8.1についても、限定的なソースコードの修正パッチが提供された。ただし、これらのバージョンは公式サポートが終了しているため、PHP開発チームによる更新済みの正式リリースは提供されなかった[3]。
PHP開発チームによる正式な更新とは別に、Linuxディストリビューションの開発元なども、サポート対象のPHPパッケージに修正を提供した。Ubuntuでは、PHP本体のバージョン番号を維持しながら脆弱性の修正を取り込むバックポートが行われ、通常サポート対象のリリースに加え、拡張セキュリティ保守の対象となる古いリリースにも修正が提供された[23]。
修正版を直ちに適用できない場合の一時的な緩和策として、PHP開発チームはPHPのメモリ使用量制限の解除、リクエストサイズの制限、ファイルアップロードの進捗管理機能の無効化などを挙げた。しかし、これらは確認された攻撃経路の一部を制限するものであり、脆弱性を完全に解消するには修正版への更新が必要であると説明した[3]。
別の脆弱性
10月23日、PHP開発チームは、セッションのアップロード進捗機能に関係する別の脆弱性（CVE-2026-115560）を公表した。この脆弱性は、セッションのシリアライズ方式を実行時に変更する特殊な条件下で遠隔コード実行を許す可能性があり、10月21日の修正版では解消されていない。ただし、シリアライズ方式を実行時に変更しないアプリケーションでは、この問題は発生しない。PHP開発チームは、次回の通常の修正版が公開されるまでの回避策として、session.upload_progress.enabled = 0と設定してアップロード進捗機能を無効化することを推奨した[24]。
影響
サーバー側のプログラミング言語が判明しているウェブサイトの約69%がPHPを使用しており[25]、これにはDrupal、Joomla、WordPressなどのコンテンツ管理システム（CMS）を使用するものも含まれるため、潜在的な影響は広範囲に及んだ[22][26]。PHPはベンダーのアプライアンス、cPanelやPleskなどのウェブホストコントロールパネル、および一部のWindowsアプリケーションにもバンドルされている[27]。
影響は一般のウェブサイトに限らず、PHPを組み込んだネットワーク機器やネットワークアタッチトストレージ（NAS）にも及んだ。パロアルトネットワークスは、ファイアウォール向けOSのPAN-OSや管理ソフトウェアPanoramaなどへの影響を公表した。PAN-OSでは管理用ウェブインターフェースに脆弱性が存在し、特に外部ネットワークから管理画面にアクセスできる場合の危険性が高いとした[28]。Synologyも、NAS向けのPHPパッケージなどを影響対象として公表し、修正版を提供した[29]。
日本
日本の国家サイバー統括室は、PHPユーザーに修正版の公開後速やかに適用できるよう準備を呼びかけた[30]。また内閣総理大臣の高市早苗は、自身のXアカウントで「修正パッチの適用、またはサービスの一時停止」を呼びかけた[31]。
日本では2026年10月21日、PHPの脆弱性に対応するため、多数のウェブサイトやオンラインサービスで緊急メンテナンスが実施された。日本時間で2026年10月21日23時にパッチが公開されることが予告されていたため、その時間までに予防的に一時閉鎖したサイトもあった（ゼロデイ攻撃対策）。
ニコニコ動画、pixiv、バンダイチャンネル、アニメイト通販、メロンブックス、BOOK☆WALKERなどのサービスや、『Pokémon Sleep』『ウマ娘 プリティーダービー』、『グランブルーファンタジー』、『プリンセスコネクト!Re:Dive』などのゲームが緊急メンテナンスのためにサービスを一時停止した[30][32][33]。
一時停止にとどまらず、サービスを終了した事例もあった。旅行ゲーム『ワールドクエスト』は10月21日、脆弱性への十分な対策が困難としてサービスを終了した[34]。翌22日には、10年以上運営されてきたゲーム『僕の魔界を救って！』も、古いサーバー環境の更新が困難であることを理由にサービス終了を発表した[35]。
公的機関では、気象庁、厚生労働省[36]、財務省、国土交通省、地方自治体（大阪府や福岡県など）がサイトの機能を一部停止させた[37]。
10月23日には、ソフトバンクがPHPの脆弱性への対応として緊急速報メールの配信を一時停止した。対象はソフトバンク、ワイモバイル、LINEMOの利用者で、停止期間中は緊急地震速報、津波警報、災害・避難情報を受信できなくなった。配信停止は10月26日まで続く見込みとされ[38]、10月25日に緊急速報メールの提供を再開した[39]。
アメリカ
アメリカの国家安全保障局（NSA）は、直ちに更新できないシステムについて、一時的にオフラインにすることも推奨した[40][41]。フォーラムサイトの4chanとサムシング・オーフルはオフラインになった[22][32][40]。
ウィキメディア財団もPHP2Shellへの予防措置として、Toolforge、Cloud VPS、Phabricatorなどのサービスを一時停止した[42]。ToolforgeやCloud VPSでは、外部の開発者が個々のアプリケーションを管理しており、すべてのシステムに修正が適用されたことを財団が保証できないため、復旧には時間を要すると説明した[43]。
Webアーカイブサービスのインターネットアーカイブは、問題を修正するために一時的にシャットダウンした[44]。
イギリス
イギリスの国家サイバーセキュリティセンターは、同様の警告を発表し、バックドアに注意するよう組織に促した[45]。
10月22日、イギリス政府のリズ・ロイド政務次官は貴族院で、政府の32サービスが利用できず、さらに4サービスが部分的に利用できない状態にあると報告した。これらの多くは修正プログラムの適用に伴う予防措置によるもので、同日時点で脆弱性に起因する中央政府のシステムへの侵入は確認されていないと説明した。また、国家サイバーセキュリティセンター（NCSC）は、企業などに約5万件の注意喚起を行った[46]。
EU
CERT-EUおよびイギリスの国家サイバーセキュリティセンター（NCSC）からのアドバイスに従い、ヨーロッパ中の多くの組織が修正版の適用を待つ間、予防措置としてウェブサイトをオフラインにした。ドイツ、フランス、ベルギー、オランダ、フィンランド、チェコなどでは、政府機関や公共サービスのウェブサイトが一時的に停止された[4]。
オランダではロッテルダム港や複数の病院のウェブサイトにも影響が及んだ[4]。このほか、オランダの政府ポータルであるOverheid.nl、デンマークの国立学校コミュニケーションプラットフォーム、フィンランド政府のすべての公開ウェブサービス、フランス内務省のすべてのウェブサイトなどが一時的に停止された[15][26][47][48]。
脚注
出典
- 1 2 3 4 “PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog” (英語). wiz.io (2026年10月21日). 2026年10月22日閲覧。
- 1 2 3 “PHP: News Archive - 20 Oct 2026” (英語). www.php.net (2026年10月20日). 2026年10月22日閲覧。
- 1 2 3 4 5 6 “PHP: News Archive - 21 Oct 2026” (英語). www.php.net (2026年10月21日). 2026年10月22日閲覧。
- 1 2 3 “Websites taken offline over PHP risks”. Reuters. 2026年10月21日. 2026年10月22日閲覧.
- ↑ “PHP 5.4.0 released!”. PHP (2012年3月1日). 2026年10月23日閲覧。
- 1 2 “RCE via OOM corruption” (英語). PHP (2026年10月21日). 2026年10月22日閲覧。
- ↑ “CVE-2026-109618 php: OOM bailout during request parsing leads to memory corruption and RCE”. Red Hat Bugzilla. 2026年10月23日閲覧。
- 1 2 “RCE via stale global state” (英語). PHP (2026年10月21日). 2026年10月22日閲覧。
- ↑ “CrowdStrike Protects Customers from Threats Delivered via PHP2Shell” (英語). CrowdStrike (2026年10月21日). 2026年10月23日閲覧。
- ↑ “Critical Vulnerabilities in PHP (PHP2Shell)”. NHS England Digital (2026年10月21日). 2026年10月22日閲覧。
- ↑ “PHP2Shell — AI uncovers critical vulnerabilities in the backbone of the web” (英語). PHP2Shell. 2026年10月23日閲覧。
- 1 2 3 4 5 6 7 8 “Today's PHP Security Release, and How We're Strengthening PHP Security” (英語). The PHP Foundation (2026年10月21日). 2026年10月23日閲覧。
- ↑ “A tale of two PHP remote vulnerabilities” (英語). Calif (2026年10月21日). 2026年10月23日閲覧。
- ↑ “Patch the Planet: global response coordination as agents uncover critical vulnerabilities” (英語). OpenAI (2026年10月21日). 2026年10月23日閲覧。
- 1 2 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (2026年10月21日). “Government websites go dark after AI-discovered flaw sparks security scramble”. Reuters (英語). 2026年10月22日閲覧.
- ↑ Abrams, Lawrence (2026年10月20日). “PHP warns admins of two critical flaws, emergency patches coming tomorrow” (英語). BleepingComputer. 2026年10月22日閲覧。
- ↑ Goodin, Dan (2026年10月20日). “PHP warns it plans to release 2 emergency patches imminently” (英語). Ars Technica. 2026年10月22日閲覧。
- ↑ “Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot” (英語). AWS Security Blog (2026年10月21日). 2026年10月23日閲覧。
- ↑ “Cloudflare deploys protections against php2shell vulnerability” (英語). Cloudflare Blog (2026年10月21日). 2026年10月23日閲覧。
- ↑ “PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619” (英語). watchTowr (2026年10月20日). 2026年10月23日閲覧。
- ↑ 「PHP「緊急」脆弱性悪用の試み、数百万件に CloudflareのCEOが報告」『ITmedia NEWS』2026年10月22日。2026年10月23日閲覧。
- 1 2 3 Collier, Kevin (2026年10月21日). “Critical vulnerabilities in commonly used web code spark rush to update systems”. NBC News (英語). 2026年10月22日閲覧.
- ↑ “php2shell (CVE-2026-109618 and CVE-2026-109619) – PHP critical vulnerability fixes available” (英語). Canonical (2026年10月21日). 2026年10月23日閲覧。
- ↑ “Informational advisory: Session upload progress” (英語). PHP (2026年10月23日). 2026年10月25日閲覧。
- ↑ “Usage statistics of server-side programming languages for websites” (英語). W3Techs. 2026年10月23日閲覧。
- 1 2 Gerkin, Tom (2026年10月21日). “Websites taken down worldwide as critical PHP cyber-security update issued”. BBC News. 2026年10月22日閲覧.
- ↑ Hammond, John (2026年10月21日). “Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)” (英語). Huntress. 2026年10月22日閲覧。
- ↑ “CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products” (英語). Palo Alto Networks (2026年10月21日). 2026年10月23日閲覧。
- ↑ “Synology-SA-26:14 PHP2Shell” (英語). Synology (2026年10月22日). 2026年10月23日閲覧。
- 1 2 「著名ITサービス相次いで緊急メンテへ コドモン、シャドバ、BASE、さくらのレンタルサーバなど 「PHP」脆弱性に起因か」『ITmedia』2026年10月21日。2026年10月22日閲覧。
- ↑ @takaichi_sanaeのポスト（2026年10月21日）
- 1 2 Tauber, Olivia (2026年10月21日). “PHP vulnerability: Which websites and services are affected?” (英語). Mashable. 2026年10月22日閲覧。
- ↑ “ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急パッチに対応するべくメンテナンス入り”. GIGAZINE (2026年10月21日). 2026年10月22日閲覧。
- ↑ PHPの脆弱性でサービス終了を発表、本格旅行ゲーム『ワールドクエスト』が公式声明。充分な対策とれず、ユーザーの保護を優先 - 電ファミニコゲーマー・2026年10月22日
- ↑ “PHPで確認された深刻な脆弱性を巡り，ゲームのサービス終了が続く。10年以上運営されてきた「僕の魔界を救って！」も終了へ”. 4Gamer.net (2026年10月22日). 2026年10月23日閲覧。
- ↑ “PHP欠陥、厚労省も介護サイト停止（共同通信）”. Yahoo!ニュース. 2026年10月23日閲覧。
- ↑ “PHPのシステム欠陥、世界に混乱広がる 政府や企業が一部サービス停止”. 西日本新聞me (2026年10月23日). 2026年10月23日閲覧。
- ↑ “メンテナンスに伴う緊急速報メールの配信停止について（PHPの脆弱性に対する対応）”. ソフトバンク (2026年10月23日). 2026年10月25日閲覧。
- ↑ “（更新）メンテナンスに伴う緊急速報メールの配信停止について（緊急地震速報と津波警報の配信を再開） | 企業・IR”. ソフトバンク (2026年10月23日). 2026年10月26日閲覧。
- 1 2 Kan, Michael (2026年10月21日). “This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says”. PCMag (英語). 2026年10月22日閲覧.
- ↑ “NSA Advisory: PHP Updates”. NSA Press Room (2026年10月21日). 2026年10月22日閲覧。
- ↑ “Impact of PHP vulnerabilities on Wikimedia tools and services” (英語). Wikimedia Foundation (2026年10月21日). 2026年10月23日閲覧。
- ↑ “Impact of PHP vulnerabilities on Wikimedia Cloud Services” (英語). Wikimedia Foundation (2026年10月21日). 2026年10月23日閲覧。
- ↑ Smith, Paul (2026年10月21日). “AI just discovered a bug putting 70pc of world’s websites at risk” (英語). Australian Financial Review. 2026年10月22日閲覧。
- ↑ Booth, Robert; Down, Aisha (2026年10月21日). “Flaw in PHP computer language leads to shutdown of websites around world”. The Guardian. 2026年10月22日閲覧.
- ↑ “Cyber Security: PHP Vulnerability” (英語). Hansard. UK Parliament (2026年10月22日). 2026年10月23日閲覧。
- ↑ Van Dessel, Josse (2026年10月21日). “Major websites go offline as critical PHP vulnerability triggers security fears” (英語). The Brussels Times. 2026年10月22日閲覧。
- ↑ “Critical security issue affecting PHP”. National Cyber Security Centre (2026年10月21日). 2026年10月22日閲覧。
関連項目
外部リンク
- PHP2Shellのページへのリンク
