読む 編集 履歴表示

Php2shell

ウィキペディアから、無料の百科事典

PHP2Shell（ピーエイチピー・ツー・シェル）は、2026年10月に公表された、プログラミング言語PHPに存在する2件の重大な脆弱性の総称である。CVE識別子はCVE-2026-109618およびCVE-2026-109619で、いずれも共通脆弱性評価システム（CVSS）バージョン4.0において深刻度9.2と評価された。[1]

これらの脆弱性は、認証を受けていない第三者による遠隔からのコード実行を可能にするおそれがあり、世界各国の政府機関、企業、オンラインサービスなどで、修正プログラム適用のための一時的なサービス停止が実施された。[2]

概要

PHP2Shellは、PHPの処理に存在する2件の脆弱性である。これらを悪用された場合、攻撃者が認証なしでサーバー上のコードを実行したり、プロセスのメモリ上に存在する情報へアクセスしたりする可能性がある。[1]

PHPはウェブアプリケーションやコンテンツ管理システムなどで広く使用されているため、脆弱性の影響範囲は広いとされた。

公表と修正

2026年10月20日、PHPのセキュリティチームは2件の重大な脆弱性に対応するセキュリティ更新を翌21日に公開する予定であると発表した。[3]

10月21日、PHP開発チームは修正版となるPHP 8.5.12、8.4.27、8.3.36および8.2.35を公開し、利用者に更新を呼びかけた。[4]

脆弱性の発見と対応には、人工知能を活用したセキュリティ調査が寄与したことも報じられている。[5]

影響

日本

日本では2026年10月21日、PHPの脆弱性に対応するため、多数のウェブサイトやオンラインサービスで緊急メンテナンスが実施された。

ニコニコ動画、pixiv、バンダイチャンネル、アニメイト通販、メロンブックス、BOOK☆WALKERなどがサービスを一時停止した。また、『Pokémon Sleep』などのゲームアプリも緊急メンテナンスを発表した。[6]

海外

ドイツ、フランス、ベルギー、オランダ、フィンランド、チェコなどでは、政府機関や公共サービスのウェブサイトが一時的に停止された。オランダではロッテルダム港や複数の病院のウェブサイトにも影響が及んだ。[2]

また、ウィキメディア財団もPHPを使用する一部システムを予防的に停止した。[2]

これらの停止措置には、実際の侵害被害によるものだけでなく、脆弱性の悪用を防ぐために予防的に行われたものが含まれる。

脚注

  1. 1 2 “Critical Vulnerabilities in PHP (PHP2Shell)”. NHS England Digital (2026年10月21日). 2026年10月22日閲覧。
  2. 1 2 3 “Websites taken offline over PHP risks”. Reuters. 2026年10月21日. 2026年10月22日閲覧.
  3. ↑ “Upcoming Critical PHP Security Release”. PHP (2026年10月20日). 2026年10月22日閲覧。
  4. ↑ “Downloads”. PHP. 2026年10月22日閲覧。
  5. ↑ “Some websites go dark as operators address an AI-detected flaw in a web programming language”. Associated Press. 2026年10月21日. 2026年10月22日閲覧.
  6. ↑ “ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急パッチに対応するべくメンテナンス入り”. GIGAZINE (2026年10月21日). 2026年10月22日閲覧。

関連項目

外部リンク

関連記事

PHP_(プログラミング言語)脆弱性コンピュータセキュリティCommon_Vulnerabilities_and_Exposures