PHP2Shell: Web全体を震撼させた脆弱性

PHP2Shellは、CVE-2026-109618およびCVE-2026-109619という2つの重大な脆弱性を指し、いずれも深刻度9.2（Critical）と評価されています。これらの欠陥は、単なるプラグインやCMSの脅威ではありません。PHPインタープリタのコア部分に存在しており、この点がリスクプロファイルを大幅に高めています。つまり、アプリケーションを更新するだけでは修正されず、PHP自体の更新が必須となります。

そのメカニズムは極めて巧妙です。悪意のあるリクエストが、PHPのリクエスト処理の初期段階でメモリを枯渇させます。これにより、初期化が不完全でクリーンアップされていないデータがメモリ上に残ります。その後のリクエストがこの不完全な状態を悪用することで、アプリケーションコードが実行される前に認証不要のリモートコード実行（RCE）が可能となります。これは、一般的なCMSやフレームワークレベルのサニタイズを回避してしまいます。

PHP2Shellの潜在的な影響範囲は広大です。PHPはすべてのサーバーサイドWebサイトの約70〜77%を支えており、この脆弱性は広範囲にわたる脅威となっています。セキュリティ研究機関であるWizは、以下の最新バージョンのクリーンインストール環境に対してエクスプロイトが可能であることを実証しました。

• WordPress
• Drupal
• Joomla

さらに、最小限の Hello, World! アプリケーションでさえもこの脆弱性の影響を受けることが確認されており、特定のアプリケーションコードではなく言語自体がリスクにさらされていることが強調されています。影響を受けるPHPバージョンは5.4から8.5までの10年以上にわたるため、世界中のほぼすべてのPHP環境においてパッチ適用が緊急の優先事項となっています。

アプリケーションの更新ではPHP2Shellを解決できません。この欠陥はPHPインタープリタ自体で動作するため、WordPress、Drupal、Joomlaなどのフレームワークによるルーティングやサニタイズのロジックが実行される前に攻撃が成立します。アプリケーションやプラグインを更新しても防御にはならず、基盤となるPHPランタイムが攻撃対象となります。

これらの脆弱性（CVE-2026-109618およびCVE-2026-109619）の報告範囲は、PHPバージョン 5.4から8.5 に及びます。早急な対応が不可欠です。PHP Foundationは修正済みのバージョン（8.2.35、8.3.36、8.4.27、8.5.12）をリリースしました。レガシーブランチについては、サポートされているバックポートを要求するか、修正済みの最新リリースへの移行を優先してください。

管理者は、忘れ去られたサーバーやコンテナイメージを含む、インフラストラクチャ内のすべてのPHPランタイムの完全な棚卸しを実施する必要があります。直ちにパッチを適用するかバックポートを行い、実行中のPHPバージョンを確認してください。修正できないシステムは、リモートコード実行を防ぐために隔離してください。

PHP2Shellの情報公開は、重大な脆弱性を管理する上で「やってはいけない」ことの典型例であり、攻撃者に不必要な先手を与える結果となりました。火曜日にCVE-2026-109618とCVE-2026-109619の詳細が誤った深刻度10.0の評価とともにHacker Newsに掲載されたため、PHP Foundationはパッチのリリースを水曜日に前倒しせざるを得なくなりました。この圧縮されたスケジュールが混乱を招きました。

さらに事態を複雑にしたのは、発見に関与したセキュリティ企業Califが、実用的なエクスプロイトを実演する動画を誤って公開してしまったことです。動画はすぐに削除されましたが、コピーが広く出回り、実質的に攻撃者に設計図を渡すことになりました。公式パッチの数時間前には、Chainguardが修正済みのPHPコンテナイメージをリリースしたため、リバースエンジニアが修正内容を分析し、多くの防御側が対応する前にエクスプロイトベクトルを再構築することが可能となってしまいました。

この早期の露出は、即座に結果を招きました。報告によると、開示前からの調査や、実際の環境でのエクスプロイト（脆弱性攻撃）の試みが確認されています。大規模な侵害は確認されていませんが、4chan、BreachForums、Wikimediaサービスなどのプラットフォームが予防措置として一時的にオフラインになるなど、脅威は深刻でした。この重大な脅威に関する詳細については、Critical Vulnerabilities in PHP Require Immediate Patching - CISA などのリソースを参照してください。この調整された開示の崩壊は、防御側と攻撃側の双方にとっての猶予期間を広げることとなり、脆弱性管理における繊細なバランスを浮き彫りにしました。

Wizのセキュリティ研究者は、かつて専門家チームが数ヶ月かけていたことを、一人の個人がわずか1週間で成し遂げたという厳しい警告を発しました。人工知能は脆弱性分析とエクスプロイト開発の両方を加速させており、開示から実際の攻撃までの期間を短縮しています。これは、基盤となるソフトウェアのリスク環境を劇的に変えています。

このPHPの危機は、他の重大な脆弱性と同時に発生しました。Node.jsはリモートコード実行の欠陥を修正し、GitLabは10.0の評価を受けたセキュリティホールであるCVE-2026-109620の修正を同日にリリースしました。セキュリティチームはコアインフラストラクチャのコンポーネント全体で同時多発的な圧力に直面しており、システムリスクが例外ではなく常態化していることを裏付けています。

「バグを見つけることが最も困難である」という前提に基づいた従来の開示モデルは、もはや通用しません。エンバーゴ（情報公開制限）や脆弱性対応計画はますます脆弱になっています。Chainguardが修正済みのPHPイメージを公開して一方的にエンバーゴを破った際、攻撃者に先手を許し、エクスプロイト競争を加速させる結果となりました。

PHPのパッチ適用は、忘れ去られたサーバーであっても、今や交渉の余地のない必須事項です。不審な動きがないか、すべてのシステムを監視してください。PHP2Shellのインシデントは、迅速な修復こそが最大の防御であるという明確なシグナルです。開示された脆弱性は前例のない速さで武器化されると想定し、即座に断固とした対応をとる必要があります。

PHP2Shellとは何ですか？

PHP2Shellは、脆弱なサーバー上でリモートコード実行を可能にする、2つの重大なPHPランタイム脆弱性に付けられた名称です。

影響を受けるPHPのバージョンは何ですか？

報告された欠陥は、PHP 5.4から8.5までのリリースに影響します。修正済みのリリースには、PHP 8.2.35、8.3.36、8.4.27、および8.5.12が含まれます。

WordPressや他のCMSを更新すればPHP2Shellを修正できますか？

いいえ。欠陥はPHPインタープリタにあるため、管理者はPHP自体を更新するか、適切なバックポートを適用する必要があります。

管理者は脆弱なPHPサイトをオフラインにするべきですか？

迅速にパッチ適用やバックポートができない場合、各機関は安全が確保されるまで影響を受けるインスタンスをネットワークから切断することを推奨しています。