読む 編集 履歴表示

PHP2Shell

ウィキペディアから、無料の百科事典
PHP2Shell
PHP2Shellのロゴ
CVE 識別子 CVE-2026-109618
CVE-2026-109619
発見日時 2026年8月
修正日時 2026年10月21日（37時間前） (2026-10-21)
発見者
影響を受ける
ソフトウェア		 PHP バージョン 5.4 – 8.5[1]
ウェブサイト php2shell.com

PHP2Shell（ピーエイチピー・ツー・シェル）は、2026年10月に公表された、プログラミング言語PHPに存在する2件の重大な脆弱性の総称である。共通脆弱性識別子（CVE）ではCVE-2026-109618およびCVE-2026-109619として知られ、リモートコード実行（RCE）を可能にする。いずれも共通脆弱性評価システム（CVSS）バージョン4.0において深刻度9.2と評価された。

その存在は2026年10月20日に公表され[2]、翌21日には緊急パッチと脆弱性の詳細が公開された[3]。

これらの脆弱性は、認証を受けていない第三者による遠隔からのコード実行を可能にするおそれがあり、世界各国の政府機関、企業、オンラインサービスなどで、修正プログラム適用のための一時的なサービス停止が実施された。[4]

概要

PHP2Shellは、PHPの処理に存在する2件の脆弱性である。これらを悪用された場合、攻撃者が認証なしでサーバー上のコードを実行したり、プロセスのメモリ上に存在する情報へアクセスしたりする可能性がある。[5]

PHPはウェブアプリケーションやコンテンツ管理システム（CMS）などで広く使用されているため、脆弱性の影響範囲は広いとされた。

発見

PHP 5.4から2026年10月の修正版以前までの幅広いバージョンに、これらの脆弱性の少なくとも一方が存在していた[1]。この種のバグは何十年も前から懸念事項として認識されていたが、実際にセキュリティホールを利用してアクセス権を得るエクスプロイトが実現可能だとは考えられていなかったため、当時は対策が取られていなかった[6][7]。PHPのコア開発者は、2024年の監査中に脆弱性の1つの背後にあるメモリ不足エラーを発見したが、開発チームは問題を修正する方法について合意に至らず、特定のエクスプロイトがまだ発見されていなかったため、解決のための作業は完了していなかった[8][9]。

2026年8月、OpenAIの「Patch the Planet」プロジェクトに参加したセキュリティ企業CalifとOpenAIが脆弱性の原因をそれぞれ独立に報告し、クラウドセキュリティ企業Wizも関連する攻撃経路を報告した[7][10]。バグの発見には、Gemini 4 Argon、GPT-5.6 Sol、およびWiz Atlasが使用された[11]。

これら2件の脆弱性は、PHP開発者によってCVSS v4.0で10点中9.2（緊急）と評価されたが[12]、セキュリティ企業のwatchTowrは満点の10.0と評価した[13]。

公表と修正

パッチの公表まで

Amazon Threat Intelligenceは、公開開示の4日前の2026年10月17日に遡るMadPotテレメトリでのPHP2Shellのエクスプロイトの試みを特定した[14]。Cloudflareは、公開パッチリリースの前に早期エクスプロイトの兆候を報告し、脆弱性に対するストップギャップ緩和策として一時的なWebアプリケーションファイアウォール（WAF）ルールを展開した[15][16][17]。セキュリティ企業のwatchTowrは、10月21日までにハニーポットネットワークを通じて実際にエクスプロイトが観測されたと述べたが[18]、アメリカのサイバーセキュリティ・社会基盤安全保障庁（CISA）は同日時点でエクスプロイトは観測されていないと述べた[19]。

10月20日、Hacker Newsのフォーラムやセキュリティ企業watchTowrのXへの投稿を通じて、脆弱性の存在やCVE識別子が広まった。PHP開発チームはこれを受け、修正版の公開予定を10月22日から21日に前倒しすると発表した。その後、Califが概念実証（PoC）エクスプロイトの動画を誤って公開した[20][7][8]。PHP公式サイトの事前告知では、修正版の公開後速やかに更新できるよう、利用者に準備を呼びかけた[2]。

セキュリティ企業Sansecは、「リリースの15分以内に大規模な攻撃が開始される」と予想した[21]。開発プラットフォームであるChainguardがソフトウェアのパッチ適用済みバージョンを早期にリリースした後、エンバーゴ（報道解禁日時）の終了前にインターネット上で概念実証のエクスプロイト、詳細な説明、および部分的な緩和策が出回り始めた。これにより、攻撃者はどのコードが変更されたかを判断することができた[13][22][8]。

パッチの公開

2026年10月20日、PHPのセキュリティチームは2件の重大な脆弱性に対応するセキュリティ更新を翌21日に公開する予定であると発表した[23]。

10月21日、PHP開発チームは修正版となるPHP 8.2.35、8.3.36、8.4.27、および8.5.12を公開し、利用者に更新を呼びかけた[24][3]。

バージョン7.4、8.0、および8.1向けのソースコードパッチもリリースされたが、これらはサポート終了と見なされているため、公式の更新済みバイナリはリリースされなかった[3]。一時的な緩和策も公開されたが完全ではないため、更新することが唯一の安全な選択であると述べた[3]。両方の脆弱性は、発表されたリリース時間の26分前である10月21日13時34分（UTC）にGitHubのセキュリティアドバイザリを通じて公開され[25][26]、その後まもなくPHPのウェブサイトも更新された[27]。

脆弱性の発見と対応には、人工知能を活用したセキュリティ調査が寄与したことも報じられている[11]。

影響

サーバー側のプログラミング言語が判明しているウェブサイトの約69%がPHPを使用しており、これにはDrupal、Joomla、WordPressなどのコンテンツ管理システム（CMS）を使用するものも含まれるため、潜在的な影響は広範囲に及んだ[19][28]。PHPはベンダーのアプライアンス、cPanelやPleskなどのウェブホストコントロールパネル、および一部のWindowsアプリケーションにもバンドルされている[29]。

日本

日本の国家サイバー統括室は、PHPユーザーに修正版の公開後速やかに適用できるよう準備を呼びかけた[30]。また内閣総理大臣の高市早苗は、自身のXアカウントで「修正パッチの適用、またはサービスの一時停止」を呼びかけた[31]。

日本では2026年10月21日、PHPの脆弱性に対応するため、多数のウェブサイトやオンラインサービスで緊急メンテナンスが実施された。

ニコニコ動画、pixiv、バンダイチャンネル、アニメイト通販、メロンブックス、BOOK☆WALKERなどのサービスや、『Pokémon Sleep』『ウマ娘 プリティーダービー』、『グランブルーファンタジー』、『プリンセスコネクト!Re:Dive』などのゲームが緊急メンテナンスのためにサービスを一時停止した[30][32][33]。

古いシステムのため十分な対策がとれなかった旅行ゲーム『ワールドクエスト』は、10月21日にサービスを終了した[34]。

アメリカ

アメリカの国家安全保障局（NSA）は、すぐに更新できない場合はウェブサイトをオフラインにすることを推奨した[6][35]。フォーラムサイトの4chanとSomething Awfulはオフラインになった[19][32][6]。

イギリス

イギリスの国家サイバーセキュリティセンターは、同様の警告を発表し、バックドアに注意するよう組織に促した[36]。

EU

CERT-EUおよびイギリスの国家サイバーセキュリティセンター（NCSC）からのアドバイスに従い、ヨーロッパ中の多くの組織が修正版の適用を待つ間、予防措置としてウェブサイトをオフラインにした。ドイツ、フランス、ベルギー、オランダ、フィンランド、チェコなどでは、政府機関や公共サービスのウェブサイトが一時的に停止された[4]。

オランダではロッテルダム港や複数の病院のウェブサイトにも影響が及んだ。[4]これには、オランダの政府ポータルであるOverheid.nl、デンマークの国立学校コミュニケーションプラットフォーム、すべてのフィンランド政府の公開ウェブサービス、およびフランス内務省のすべてのウェブサイトが含まれる[11][28][37][38]。

ウィキメディア財団

メンテナンス中のウィキメディア・ファブリケーターのスクリーンショット

また、ウィキメディア財団もPHPを使用する一部システムを予防的に停止した。[4]

これらの停止措置には、脆弱性の悪用を防ぐために予防的に行われたものが含まれる[4]。

インターネットアーカイブ

インターネットアーカイブは、問題を修正するために一時的にシャットダウンした[39]。

脚注

出典

  1. 1 2 “PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog” (英語). wiz.io (2026年10月21日). 2026年10月22日閲覧。
  2. 1 2 “PHP: News Archive - 20 Oct 2026” (英語). www.php.net (2026年10月20日). 2026年10月22日閲覧。
  3. 1 2 3 4 “PHP: News Archive - 21 Oct 2026” (英語). www.php.net (2026年10月21日). 2026年10月22日閲覧。
  4. 1 2 3 4 5 “Websites taken offline over PHP risks”. Reuters. 2026年10月21日. 2026年10月22日閲覧.
  5. ↑ “Critical Vulnerabilities in PHP (PHP2Shell)”. NHS England Digital (2026年10月21日). 2026年10月22日閲覧。
  6. 1 2 3 Kan, Michael (2026年10月21日). “This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says”. PCMAG (英語). 2026年10月22日閲覧.
  7. 1 2 3 McMillan, Robert (2026年10月21日). “Exclusive | AI Just Found a Bug That Puts up to 70% of the World’s Websites at Risk”. Wall Street Journal (アメリカ英語). ISSN 0099-9660. 2026年10月22日閲覧.
  8. 1 2 3 Constantin, Ana Maria (2026年10月21日). “PHP knew about one of the flaws in 2024 but could not agree a fix”. The Next Web (英語). 2026年10月22日閲覧.
  9. ↑ “Today's PHP Security Release, and How We're Strengthening PHP Security” (英語). thephp.foundation. 2026年10月22日閲覧。
  10. ↑ “Today's PHP Security Release, and How We're Strengthening PHP Security” (英語). thephp.foundation. 2026年10月22日閲覧。
  11. 1 2 3 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (2026年10月21日). “Government websites go dark after AI-discovered flaw sparks security scramble”. Reuters (英語). 2026年10月22日閲覧.
  12. ↑ “php.announce: [ANNOUNCE Upcoming Critical PHP Security Release]”. news-web.php.net. 2026年10月22日閲覧。
  13. 1 2 Abrams, Lawrence. “PHP warns admins of two critical flaws, emergency patches coming tomorrow” (英語). BleepingComputer. 2026年10月22日閲覧。
  14. ↑ “Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog”. aws.amazon.com (2026年10月21日). 2026年10月22日閲覧。
  15. ↑ Gatlan, Sergiu (2026年10月21日). “PHP ships emergency patches for critical PHP2Shell flaws” (英語). BleepingComputer. 2026年10月22日閲覧。
  16. ↑ “Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits”. PC Gamer (英語). 2026年10月21日. 2026年10月22日閲覧.
  17. ↑ Knecht, Dane (2026年10月21日). “Dane Knecht 🦭 (@dok2001) on X”. X (formerly Twitter). 2026年10月22日閲覧。
  18. ↑ “PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619” (英語). watchTowr (2026年10月20日). 2026年10月22日閲覧。
  19. 1 2 3 Collier, Kevin (2026年10月21日). “Critical vulnerabilities in commonly used web code spark rush to update systems”. NBC News (英語). 2026年10月22日閲覧.
  20. ↑ Khandelwal, Swati (2026年10月21日). “PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert”. The Hacker News (英語). 2026年10月22日閲覧.
  21. ↑ Goodin, Dan (2026年10月20日). “PHP warns it plans to release 2 emergency patches imminently” (英語). Ars Technica. 2026年10月21日時点のオリジナルよりアーカイブ。2026年10月22日閲覧。
  22. ↑ “Only for the curious...”. jackalsyn.com. 2026年10月22日閲覧。
  23. ↑ “Upcoming Critical PHP Security Release”. PHP (2026年10月20日). 2026年10月22日閲覧。
  24. ↑ “Downloads”. PHP. 2026年10月22日閲覧。
  25. ↑ “RCE via OOM corruption” (2026年10月21日). 2026年10月22日閲覧。
  26. ↑ “RCE via stale global state” (2026年10月21日). 2026年10月22日閲覧。
  27. ↑ “PHP: News Archive - 2026”. www.php.net (2026年10月21日). 2026年10月22日閲覧。
  28. 1 2 Gerkin, Tom (2026年10月21日). “Websites taken down worldwide as critical PHP cyber-security update issued”. BBC News. 2026年10月22日閲覧.
  29. ↑ Hammond, John (2026年10月21日). “Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)” (英語). Huntress. 2026年10月22日閲覧。
  30. 1 2 「著名ITサービス相次いで緊急メンテへ コドモン、シャドバ、BASE、さくらのレンタルサーバなど 「PHP」脆弱性に起因か」『ITmedia』2026年10月21日。2026年10月22日閲覧。
  31. ↑ @takaichi_sanaeのポスト（2026年10月21日）
  32. 1 2 Tauber, Olivia (2026年10月21日). “PHP vulnerability: Which websites and services are affected?” (英語). Mashable. 2026年10月22日閲覧。
  33. ↑ “ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急パッチに対応するべくメンテナンス入り”. GIGAZINE (2026年10月21日). 2026年10月22日閲覧。
  34. ↑ PHPの脆弱性でサービス終了を発表、本格旅行ゲーム『ワールドクエスト』が公式声明。充分な対策とれず、ユーザーの保護を優先 - 電ファミニコゲーマー・2026年10月22日
  35. ↑ “NSA Advisory: PHP Updates”. NSA Press Room (2026年10月21日). 2026年10月22日閲覧。
  36. ↑ Booth, Robert; Down, Aisha (2026年10月21日). “Flaw in PHP computer language leads to shutdown of websites around world”. The Guardian. 2026年10月22日閲覧.
  37. ↑ Van Dessel, Josse (2026年10月21日). “Major websites go offline as critical PHP vulnerability triggers security fears” (英語). The Brussels Times. 2026年10月22日閲覧。
  38. ↑ “Critical security issue affecting PHP”. National Cyber Security Centre (2026年10月21日). 2026年10月22日閲覧。
  39. ↑ Smith, Paul (2026年10月21日). “AI just discovered a bug putting 70pc of world’s websites at risk” (英語). Australian Financial Review. 2026年10月22日閲覧。

関連項目

外部リンク

関連記事

Log4ShellハートブリードPHP_(プログラミング言語)セキュリティホールコンピュータセキュリティCommon_Vulnerabilities_and_Exposuresバグマゲドン