【速報】PHPの脆弱性「PHP2Shell」続報。公開前から攻撃を観測、WordPressなどでの実証も報告

PHPの脆弱性2件（CVE-2026-109618、CVE-2026-109619）について、1本目の速報、修正版公開の速報に続く続報です。この2件は「PHP2Shell」と呼ばれていると報じられています。

修正版の公開後に各社の発表や報道で確認できた事実だけをまとめました。時刻は日本時間（JST）に直しています。最新の情報は出典のリンク先をご確認ください。

01｜これまでの流れ

Sansecがまとめた時系列などによると、次のとおりです。

• 8月：セキュリティ企業Califが複数の攻撃経路を見つけ、8月11日（UTC）にPHPへ報告。8月24日（UTC）にはWiz ResearchもPHPへ報告
• 10月20日（UTC）：公開前に詳細が漏れる。watchTowrがリモートコード実行を確認したとされる（GovInfoSecurityによると、本来は10月22日15時UTCまで非公開の予定だった）
• 10月21日 12時2分（JST）：CloudflareのWAFで、この攻撃を防ぐルールが全利用者に有効に（Cloudflare）
• 10月21日 16時43分（JST）：Cloudflareが初期の攻撃を報告（Sansec）
• 10月21日 23時（JST）：PHPが修正版を公開し、内容が公表される

02｜誰が見つけた？

Sansecによると、発見したのはCalifのRyan Austin氏、Wiz Research、OpenAIで、修正はPHPのセキュリティチームが取りまとめたとされています。

The Recordは、OpenAIが「Califの研究者が同社のツールを使い、2か月前にこの脆弱性を見つけた」と説明したと報じています。Wizは、高度なAIによって攻撃方法の開発にかかる手間が大きく下がったと説明しています。

03｜影響する範囲

• 対象：PHP 5.4以降を動かしているWebサーバー（Cloudflare、Sansec）。問題のあるコードは2012年公開のPHP 5.4.0からあり、初期設定のままで影響を受けるとされています（Sansec）
• 修正版：PHP 8.5.12／8.4.27／8.3.36／8.2.35（PHP公式）
• 8.1以前：PHPプロジェクトからの更新はもう提供されていません。7.4／8.0／8.1向けに最小限の修正コードは公開されていますが、正式な修正版ではありません（PHP公式）
• 原因：「メモリ不足などでリクエストの処理が途中で止まったとき、後片付けが正しくできない」というPHP本体の問題です（Cloudflare）。サイト側のプログラムやプラグインを直しても解決せず、PHP自体の更新が必要とされています

Sansecによると、Califはログインなしでコードを実行できることを、Magento 2.4.9、WordPress 7.1.2、Drupal、Joomla、MediaWiki、phpMyAdmin、Nextcloud、Laravel、Symfonyなどで実証したとされています。「リモートコード実行」は、ネットの向こうの誰かがサーバー上で好きなプログラムを動かせてしまうことです。

また、CVE-2026-109618には、サーバーのメモリの中身（パスワードやAPIキーなどを含みうる）が外に漏れるおそれもあるとSansecは説明しています。攻撃用のツールと技術的な解説も、すでに公開されていると報告されています。

04｜攻撃と各所の対応

• Cloudflare：情報が漏れた後、修正版公開の前から利用者のサイトを狙う攻撃を観測したと発表。WAF（不正な通信を止める仕組み）に防御ルールを入れ、無料プランを含むWAF利用者全員に自動で適用したとしています。あくまで追加の守りで、PHPの更新が必要だとも書いています（Cloudflare）
• watchTowr：実際の攻撃を観測しているとし、「今のところ成功した例はないが、長くは続かないと見ている」と述べたと報じられています（The Record）
• オランダのNCSC（政府のサイバーセキュリティ機関）：念のため自分たちのWebサイトを一時停止したと報じられています（GovInfoSecurity）。Sansecによると、オランダでは下院やTweakersなどのサイトも予防のため停止したとされています
• 各国：EU、米国、ドイツ、日本、オーストラリア、英国、オランダが注意喚起を出し、数百のサイトが停止したと報じられています（The Record）

05｜対策として公表されていること

• PHP公式は、修正版への更新が唯一の完全な対策だとしています。すぐ更新できない場合の一時的な設定も公開していますが、「安全にするものではない」と明記しています
• 自分でサーバーを管理していない場合は、ホスティング会社（レンタルサーバー会社など）に更新を依頼するよう、Sansecは案内しています

なお、このサイト（strongers-fc.com）はPHPを使わない構成で動いています。