PHPの脆弱性「PHP2Shell」、大規模攻撃の危機と対応

PHPの重大な脆弱性「PHP2Shell」が発見、パッチ公開も未更新システムにリスク

2026年、PHPの脆弱性「PHP2Shell」が発見され、PHP Foundationがパッチを公開しました。この脆弱性はリモートから認証なしで悪用可能で、未更新のシステムは攻撃を受ける恐れがあります。専門家は、依然として多くのシステムが脆弱なままだと警告しています。

PHPはウェブサイトやウェブアプリの構築に広く使われるプログラミング言語です。オープンソースで無料、誰でも利用できます。そのため、世界中のウェブサイトで使われています。

今回発見された2つの脆弱性は、2024年に初めて見つかりましたが、当時は悪用可能とは考えられていませんでした。しかし、最近になって悪用方法が見つかり、PHP Foundationに通知されました。

この脆弱性は「PHP2Shell」と呼ばれ、CVE-2026-109618とCVE-2026-109619として正式に識別されています。リモートコード実行が可能で、被害者がリンクをクリックしたりファイルを開いたりする必要がありません。

悪用されると、攻撃者はパスワードなしでシステムに侵入し、マルウェアを植え付けたり、データを盗んだりできます。

PHP Foundationはパッチを公開し、大手インターネット企業やウェブホストには事前に情報を提供しました。これにより、主要企業は迅速に対応できました。

水曜日から、各国政府は市民や企業にリスク軽減策を促しました。銀行、小売店、ゲームサイト、オンラインストア、病院、政府機関などがサーバーを停止してパッチを適用しました。

しかし、セキュリティ研究者は、状況はまだ終わっていないと警告しています。世界中の多くのシステムが未更新のままで、攻撃やデータ窃盗の危険にさらされています。

アマゾンは、PHPのパッチが利用可能になる約1週間前にPHP2Shellの悪用を検出したとブログで述べました。誰かが脆弱性を事前に知っていた可能性があります。

パロアルトネットワークスとTrail of Bitsによると、金曜日遅くには、PHPの脆弱性に関連する侵害と攻撃後の活動が確認されました。

クラウドフレアのCEO、マシュー・プリンス氏は、脆弱性の公開後に悪用の試みが指数関数的に増加していると述べました。

PHPはウェブサーバーだけでなく、開発者ツールやルーター、ストレージデバイス、ファイアウォール、VPNなどにも使われています。小規模なITチームや個人開発者は更新が遅れる可能性があり、今後も悪用が続くと予想されます。

PHPのような古い技術は「メモリ安全ではない」ため、メモリ関連の脆弱性の影響を受けやすいです。国家安全保障局によると、悪用される脆弱性の約75%がメモリ関連の欠陥を悪用しています。

Python、Rust、Swiftなどのメモリ安全な言語への移行が進んでいますが、依然として多くのシステムが古い技術に依存しています。

PHP2Shellはインターネットを停止させる危機の一つでしたが、今後も同様のインシデントが起こる可能性があります。AIツールの進化により、未発見の脆弱性が迅速に見つかるようになるかもしれません。