PHP2Shell 脆弱性に関する新たな脅威とその対策について

最近、PHPに関連する二つの重大な脆弱性が発見され、これがPHP2Shellとして知られるようになりました。これを受けて、10月21日夜には政府やメディアを通じて情報が広まり、セキュリティ業界に衝撃が走りました。特に注目すべきは、これらの脆弱性のCVSSスコアが9.2と非常に高いことです。この状態は、組織が迅速に対策を講じる必要があることを示唆しています。

PHP2Shellは、Remote Code Execution（RCE）を引き起こす可能性がある脆弱性です。これにより、攻撃者はリモートから任意のコードを実行し、安全性の高いシステムに対する深刻な脅威をもたらすことになります。この脆弱性は、特にサポートされているブランチに対する攻撃が行われており、組織は直ちに対策を講じるべきです。

脆弱性の概要

PHP2Shellには、以下の二つのRCE脆弱性（CVE-2026-109618、CVE-2026-109619）が含まれています。この重大性を受け、Recorded Futureは、即時にシグネチャを作成し、Attack Surface Intelligenceと連携して脆弱性の検出に対応しました。

修正版は2026年10月21日（水）に公開され、PHPの各バージョンに対応したパッチが提供されています。具体的には、PHP 8.2.35、8.3.36、8.4.27、8.5.12の各バージョンが修正版の対象です。組織は、これを受けてサポート対象のブランチへと移行し、適切なパッチを適用する必要があります。

早急な対処が必要

組織が直面する課題として、まずは自分たちの資産の棚卸しを行い、現行のサポート対象ブランチを確認することが挙げられます。その後、支援するべき緊急パッチを即座に適用することが求められます。特に注意すべきは、サポートが終了しているブランチに対してはパッチが提供されないため、早急に下位互換性のあるバージョンへの移行が必要です。

また、脆弱性の修正版が公開される前から、悪用の試みが報告されているため、特に警戒が必要です。Recorded FutureのAttack Surface Intelligenceでは、これに対抗するためのシグネチャを、修正版公開前にリリースしています。これにより、企業や組織は未然に脅威を察知し、対策を講じることが可能です。

現在の状況

2026年10月21日午後7時（UTC）の段階では、PHP2Shellをターゲットにした新たな悪用試みが観察されています。失敗したり、成功した悪用の全容や確認された情報漏洩、侵害の状況についてはまだ不明な部分が多く、これが種々のリスクを引き起こす要因となっています。

公開されている概念実証（PoC）エクスプロイトについても注意が必要で、これらが必ずしも効果的であるとは限りません。特に、セキュリティ研究者のJ4ck3LSyNによる攻撃手順については、その解釈が変わる可能性があるため、常に最新の情報を把握することが重要です。

結論

サイバー攻撃が進化する中、PHP2Shellがもたらすリスクを軽減するためには、即時の行動が鍵となります。組織は自身のリスク状況を再評価し、適切なパッチを適用することで、セキュリティを維持することが重要です。今後も、Recorded FutureやInsikt Groupからの情報に注意を払い、安全対策を行っていく必要があります。

続報や詳細に関しては、Recorded Futureの公式ブログをご覧ください。