本日、メンテナンスモードになっているWebサイトを目にした方は多いかもしれません。これはセキュリティ上の予防措置である可能性があります。PHPの2件の重大な脆弱性を狙った攻撃が報告されており、緊急アップデートの適用に加え、修正が済むまで影響を受けるサービスを一時的にオフラインにすることを検討するよう、警告が出ています。
この脆弱性は「PHP2Shell」と呼ばれ、CVE-2026-109618とCVE-2026-109619として管理されています。深刻度はいずれも10段階中9.2です。
なぜ重要なのか
PHPは、Webの大部分を裏で支えるプログラミング言語です。WordPress、Drupal、Joomla、Magentoをはじめ、多くのアプリケーションの基盤となっています。利用者がPHPの存在に気づいていないソフトウェアも含まれます。
悪用に成功すると、攻撃者はログインなしで、影響を受けるサーバー上で悪意のあるコードを実行できる可能性があります。コードはPHPプロセスに与えられた権限で動作するため、アプリケーションのデータを盗んだり、Webサイトの内容を改ざんしたり、バックドアを設置したりする恐れがあります。
PHPチームは、Webリクエストを処理しているすべてのPHP環境がリスクにさらされているとしています。構成によっては、Webサイト自身のコードが実行される前に、攻撃者がエクスプロイトを発動できる場合もあります。
Cloudflareの最高技術責任者（CTO）であるDane Knecht氏は「初期の攻撃が出現している」と報告しました。一方で、ファイアウォールによる緩和策はあくまで一時しのぎにすぎないと警告しています。
緊急パッチが公開済み
PHPチームは、緊急セキュリティアップデートを10月21日午前10時（米国東部時間、UTC 14:00）に公開する予定でした。現在、PHP 8.5.12、8.4.27、8.3.36、8.2.35で修正版がリリースされており、直ちに更新するよう呼びかけています。管理者は、ホスティング事業者やOSベンダーに、適切な更新パッケージを確認してください。
管理者がアップデートの適用やシステムの確認を進めている間は、引き続きオフラインのWebサイトに遭遇することがあります。
CERT-EUは、PHPベースのアプリケーションを洗い出し、できるだけ早くパッチを適用するよう推奨しています。すぐに修正できない場合は、インターネットに公開されているアプリケーションを公衆ネットワークから隔離することを検討するよう助言しています。
リスクは今回の緊急対応の後も続く可能性
長期的に懸念されるのは、忘れられたインフラです。放置されたWebサイト、サポートが終了したアプリケーション、PHPベースの管理画面を備えた接続機器などが該当します。誰も保守していなかったり、ベンダーが更新を提供しなくなったりしている場合、脆弱な環境が露出したまま残るおそれがあります。
PHP 8.1以前のバージョンは、PHPプロジェクトによる定期的なセキュリティ更新の対象外です。これらのバージョンを使っている管理者は、ベンダーが修正を提供しているかどうかを確認するか、サポート対象のバージョンへのアップグレードを手配してください。
Webサイトの所有者は、基盤となるPHPを誰が更新するのかを明確にしておく必要があります。WordPressやそのプラグインを更新することと、PHPを更新することは別です。修正の適用は、ホスティング事業者やサーバー管理者に依頼しなければならない場合があります。
サイトの訪問者にとって、一時的なダウンタイムだけでは、そのサイトが侵害されたことを意味しません。管理者が更新を適用する間の、保護を目的とした判断である可能性もあります。
ただし、消費者はいっそうの注意が必要です。「信頼できるWebサイト」がもはや信頼できない可能性があるためです。その理由はPHP2Shellだけではありません。8件の侵害されたTLS証明書の問題もあります。
MalwarebytesのScam・AI研究グローバル責任者であるShahak Shalev氏は、次のように述べています。
「これはハッカーにとって宝の山です。本物のWebサイトを乗っ取り、そのサイトの評判を悪用して、フィッシングを仕掛けたり、信頼されたチャネルから悪意のあるソフトウェアを配布したりできます。悪用の可能性は無限です。」
見慣れたWebサイトであっても、予期しないコンテンツやダウンロード、リダイレクト、繰り返されるログイン要求には注意してください。不審に感じたらそのページを離れ、別の信頼できる手段で組織に問い合わせましょう。
Malwarebytesの取り組み
- ハッキングされたWebサイトからの保護：Malwarebytesのウェブ保護とBrowser Guardは、既知の有害なサイト、詐欺ページ、危険なダウンロードをブロックします。当社の研究者は、これらの脆弱性を突いて侵害されたWebサイトを監視しており、ブロックリストに迅速に追加できるようにしています。
- 自社サイトの更新：当社はマネージドホスティング事業者を利用しており、PHPの修正の適用に向けて連携しています。更新が完了するまで、自社サイトを注意深く監視します。
被害が出る前に脅威を止めましょう。
Malwarebytes Browser Guardは、フィッシングページや悪意のあるサイトを自動的にブロックします。無料で、ワンクリックでインストールできます。ブラウザに追加する →
