テクノロジー · ニュース記事
PHP2Shell: 重大なPHF脆弱性2つがグローバルサイト停止を引き起こす
公開:
要点
PHP言語の重大なリモートコード実行脆弱性2つ(CVE-2026-109618およびCVE-2026-109619として追跡され、「PHP2Shell」というニックネームが付けられている)により、認証されていない攻撃者は脆弱なサーバー上でコードを実行できます。PHPは2026年10月21日にパッチをリリースしました。これは悪用の詳細が早期に漏洩した後のことです。セキュリティ研究者によると、修正プログラムが配布される前から攻撃が始まったとのことで、多くの組織は予防措置としてサイトをオフラインにしました。
この版は原文（English）の機械翻訳です。 原文を読む
Webのサーバー側コードの大部分を実行するスクリプト言語であるPHPは、2026年10月に開示された2つの重大なセキュリティ脆弱性に見舞われました。集合的に「PHP2Shell」というニックネームが付けられ、CVE-2026-109618およびCVE-2026-109619として追跡されているこれらのバグにより、アカウントやパスワードを持たない攻撃者は、影響を受けたWebサーバー上で任意のコードを実行できます。
脆弱性が何をするか
セキュリティ企業watchTowrによると、CVE-2026-109618は、PHPが着信リクエストのセットアップ途中でメモリ不足になり、内部リクエストデータが部分的にのみ初期化されたままになるときに発生します。PHPのクリーンアップルーチンはその後、その無効なデータを有効として誤って扱います。CVE-2026-109619は、1つのリクエストに関連付けられた内部状態が、それが指すメモリが既に解放された後も存続することが関係しており、同じワーカープロセスによって処理される後続のリクエストは、通常の初期化によってリセットされる前にその古い状態を使用できます。
欠陥を調査した調査企業Wizは、Help Net Securityに対して、これらの問題は数年間気付かれずに続いており、言語で発見された中でも最も深刻なものの1つにランクされていると述べました。完全なリモートコード実行を超えて、watchTowrは、これらのバグはPHPワーカープロセスをクラッシュさせたり、任意のファイル読み取りを許可したり、サーバーメモリをリークしたりすることもできると述べました。
それを発見したのは誰か、いつか
2つの欠陥は別々の研究努力を通じて報告されました。WatchTowrの勧告はCalifのセキュリティ研究チームに発見のクレジットを与え、Help Net Securityの報道はWizの研究者への識別と開示を帰しています。開示のタイムラインは異常でした。機密保持契約の下に留まることを意図していた詳細は、2026年10月20日に公開漏洩し、watchTowrは漏洩した情報が本物であることを確認しました。PHPのメンテナーは、もともと計画されていた10月22日の1日前、2026年10月21日の14:00 UTCにパッチをリリースすることで対応しました。
範囲: 脆弱なPHPを実行している人
PHPはWebで最も広く使用されているサーバー側言語の1つであり続けており、これらの欠陥はそれを通じて着信HTTPリクエストを処理するあらゆるセットアップに影響を与える可能性があります。watchTowrによると、影響を受けるセットアップには、PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP、およびLiteSpeedが含まれます。これは、バグが単一のアプリケーションではなく、サーバー層自体にあることを意味しています。
| PHPブランチ | 脆弱なバージョン | 修正されたバージョン |
|---|---|---|
| 8.5.x | 8.5.12未満 | 8.5.12 |
| 8.4.x | 8.4.27未満 | 8.4.27 |
| 8.3.x | 8.3.36未満 | 8.3.36 |
| 8.2.x | 8.2.35未満 | 8.2.35 |
| 7.4、8.0、8.1 | すべてのバージョン | 公式PHPコアパッチなし。ディストリビューション/LTSベンダーのバックポートまたはサポートされているブランチへの移行 |
| 7.3以前 | すべてのバージョン | 利用可能な修正なし。サポートされているブランチへのアップグレードが必要 |
PHP 7.4、8.0、および8.1は公式にサポートされなくなっているため、watchTowrによると、それらのブランチを実行しているサイトのPHPコアプロジェクトからのパッチはありませんが、Linuxディストリビューションまたは長期サポートベンダーのバックポートが一時的なオプションとして利用可能な場合があります。それ以外の場合、これらのインストールはサポートされているブランチに移行する必要があります。watchTowrによると、PHP 7.3以前のバージョンには修正がまったくありません。PHPの勧告は、ソフトウェアを更新する以外に、設定の変更が脆弱性を完全に閉じることがないと述べています。
影響と悪用
Help Net Securityは、Amazonが運営するハニーポットネットワークが2026年10月17日に悪用試行を検出したと報告しました。これは公開パッチの4日前です。これは、一部の攻撃者が悪用の詳細に早期にアクセスできていたことを示唆しています。WatchTowrは、独自の「Attacker Eye」ハニーポットネットワークが2026年10月21日のパッチリリース後も活動している野生での悪用を観察したと述べました。WordPress、Drupal、Joomlaを含むPHPで構築されたコンテンツ管理システム、およびLaravelベースのアプリケーションと電子商取引プラットフォームはすべて、脆弱なPHPエンジンの上で実行されるため、影響を受ける範囲内にあります。
PHP2Shell Wikipediaエントリで要約されたカバレッジによると、パッチ作業が進行中の場合、政府機関、オンラインフォーラム、ゲーミングプラットフォーム、およびいくつかのインフラストラクチャ関連のサイトは、オペレーターが修正を適用する間、予防措置としてオフラインにされました。Help Net Securityは、英国国立サイバーセキュリティセンターが、すぐにパッチを適用できない組織に対して、脆弱なシステムをオフラインにするよう促したと報告しました。
これらの発見は、PHPで発見された最も深刻な脆弱性の1つにランクされており、議論の余地なくソフトウェア履歴上の最も深刻な脆弱性です。
重大度評価とサイトオペレーターが行うべきこと
watchTowrの勧告によると、PHPの開発者は両方の欠陥をCVSS v4.0スケールで10点中9.2「重大」スコアと評価しました。PHP勧告とwatchTowrの両方によると、明確な改善方法は、サーバーが実行されているブランチに応じてPHP 8.5.12、8.4.27、8.3.36、または8.2.35に更新することです。7.4、8.0、または8.1上のサイトはディストリビューションバックポートを使用するか、サポートされているブランチに移行する必要があり、7.3以前のサーバーは利用可能な修正がなく、アップグレードが必要です。
よくある質問
- PHP2Shellとは何ですか?
- PHP2Shellは、ログイン認証情報を持たない攻撃者が脆弱なPHPを実行しているWebサーバー上でコードを実行できるようにする2つの重大なPHP脆弱性(CVE-2026-109618およびCVE-2026-109619)のニックネームです。
- どのPHPバージョンが影響を受けていますか?
- 8.2.35、8.3.36、8.4.27、および8.5.12より前のバージョンは脆弱性があり、公式な修正があります。PHP 7.4、8.0、および8.1も影響を受けています。これらのブランチはサポートされていないため、公式なPHPコアパッチはありませんが、watchTowrによると、ディストリビューションまたはLTSベンダーのバックポートが利用可能な場合があります。PHP 7.3以前のバージョンには利用可能な修正がまったくありません。
- PHP2Shellは積極的に悪用されていますか?
- はい。Help Net Securityは、Amazonのハニーポットを通じて検出された悪用試行が2026年10月17日と同じくらい早く報告され、watchTowrは2026年10月21日のパッチ後に野生での活動的な悪用を観察したと述べました。
- 何個のWebサイトが影響を受ける可能性がありますか?
- PHPはWebで最も広く使用されているサーバー側言語の1つであり続けており、WordPress、Drupal、Joomlaで構築されたサイトを含めて支援しているため、watchTowrおよびPHP2Shell Wikipediaエントリの概要によると、2つの欠陥は広い可能性のある範囲を持っています。
- Webサイトオペレーターはどのように修正できますか?
- PHPの勧告とwatchTowrは両方とも、設定の変更が脆弱性を完全に閉じないため、唯一の完全な修正はパッチされたリリース(ブランチに応じて8.5.12、8.4.27、8.3.36、または8.2.35)に更新することだと述べています。サポートされていないブランチ(7.4、8.0、8.1、または7.3以前)のサイトは、利用可能な場合はベンダーバックポートを使用するか、サポートされているブランチにアップグレードする必要があります。
出典
この記事は人工知能で作成され、公開前に出典の自動チェックを通過しています。誤りを見つけたら訂正を依頼してください。 訂正・反論を依頼する · 制作方針
関連記事
テクノロジー比較
PlayStation 5 ProとマッチングゲーミングPC：価格と性能の比較
ソニーは2024年11月にPlayStation 5 Proを699.99ドルで発売しましたが、Engadgetの報道によると米国での価格は2026年4月までにおよそ900ドルに上昇し、2026年10月のSlashGearの推定ではおよそ1,580ドル近くなっています。ベンチマーク測定者がコンソールに最も近いと考えるGPUとCPUを中心に構築されたPCは、SlashGearとBGRのテストによれば、選択するパーツに応じて約1,050ドルから1,530ドルのコストがかかります。
テクノロジーニュース記事
「PHP2Shell」と呼ばれた2つの重大なPHP脆弱性がウェブの大部分を露出させる
「PHP2Shell」というニックネームの2つの重大なPHP脆弱性により、攻撃者はログインなしにウェブサーバー上で悪意あるコードを実行できます。これらを発見したセキュリティ企業によると述べられています。CVE-2026-109618およびCVE-2026-109619のパッチは2026年10月21日にリリースされ、研究者が最初にバグを報告してから数ヶ月後でした。その後、複数の企業がワイルド環境での悪用の試みをログしています。
テクノロジーランキング・一覧
Google Playストア外で入手できるベストなAndroidアプリとユーティリティ
AndroidユーザーはGoogle Playに限定されません。オープンソースリポジトリF-Droid、匿名Google Playクライアント『Aurora Store』、アップデートトラッカー『Obtainium』、Shizukuベースのカタログ『ShizuStore』はすべて、公式ストアが掲載していないか許可していないアプリを配布しています。MakeUseOfとPocket-lintのレポートに基づいた、知る価値のある9つのストアとユーティリティを紹介します。
テクノロジー解説記事
PHP2Shell: 政府をオフラインに追いやった2つの重大なPHPの脆弱性
PHP2Shell は、PHP プログラミング言語における 2 つの重大な認証不要な遠隔コード実行脆弱性 — CVE-2026-109618 および CVE-2026-109619 — の別名であり、2026 年 10 月 20–21 日に開示されました。PHP は世界中のウェブサイトの非常に大きなシェアを支えているため、これらの脆弱性により複数の政府が予防措置として公開サイトをオフラインにしました。公式な修正は PHP のアップグレードです。中間的なサーバー側の対策も存在しますが、個々の読者ができることは侵害通知の監視と強力で一意なパスワードの使用を超えて、ほとんどありません。