「PHP2Shell」と総称される2件の重大なリモートコード実行（RCE）の脆弱性（CVE-2026-109618、CVE-2026-109619）が、実環境で悪用されたことが明らかになりました。
この不正な活動を確認したのは、Perplexityで検知・対応部門を率いるAdel Karimi氏です。同氏のハニーポットは、PHP 8.4.26を実行するApache mod_php環境に対するリモートコード実行の成功を裏付ける証拠を記録しました。
Karimi氏は次のように述べています。「今回、単なるクラッシュとその後の不審なプロセスではなく、メモリ内容の漏えいを伴う実用的なRCEが確認されました。レスポンスでは800 KiBのデコード済みCookieダンプが返され、公開されているエクスプロイトのオフセットを使ってこのダンプから導き出した関数アドレスが、その後の実行ペイロードにも現れています」
「クライアントはレスポンス全体の受信を確認しており、その後、実行リクエストの最終バイトを捕捉してから約1.6ミリ秒後にシェルコマンドが実行されました」
Karimi氏の調査結果は、Expelの脅威研究者Marcus Hutchins氏も裏付けています。Hutchins氏は、PHP2Shellの悪用成功を主張する相次ぐ報告を追跡してきました。
Hutchins氏は次のように語っています。「これは、私がこれまでに見たphp2shellの実環境での悪用確認の中で、群を抜いて質が高いものです。PHP 8.4.26を実行するApache mod_php環境に対する攻撃成功例について、技術的に深く分析されています」
PHPのセキュリティチームは、10月21日（水）にPHP2Shellの脆弱性を修正しました。その前日には、セキュリティ更新が公開され次第インストールできるよう、管理者に準備を呼びかけていました。
PHP2Shellの脆弱性の詳細は、パッチ公開前にネット上に流出しました。CVE番号や、一部の重要インフラ事業者に提供されていた緩和策のアドバイスも含まれています。さらに、パッチ公開前に概念実証（PoC）エクスプロイトもいくつか公開されましたが、PHPのセキュリティチームによると、いずれも実際には機能しないものでした。
このほか、Cloudflare、Hadrian、watchTowr、Previdian、Patchstackなど複数のセキュリティ企業が、公開前に悪用の試みを検知していました。ただし、いずれも失敗に終わったと報告しています。
Amazon Threat Intelligenceのセキュリティ研究者も、パッチ公開の4日前から、攻撃者がPHP2Shellの脆弱性を狙っていることを確認しています。しかし、Dataminrの脅威調査・サイバーエンジニアリングチーム（TRACE）によると、Karimi氏の調査結果が出るまで、不正な活動は「スキャンやフィンガープリンティング、機能しないエクスプロイトの使用にとどまり、侵害は確認されていなかった」とのことです。
金曜日には、PHPのセキュリティチームが、パッチが未提供の新たなRCE脆弱性（CVE-2026-115560）に対する緩和策も公開しました。この脆弱性は、「設定とアプリケーションコードが特殊な組み合わせになっている」システムが標的となった場合にのみ悪用できます。
PHPの開発者は、セキュリティパッチが公開されるまでの間、攻撃を防ぐために管理者がsession.upload_progress.enabled=0を設定するよう推奨しています。この緩和策は、PHP2Shellの修正パッチが公開される前にも勧告されていたものです。
PHP（Hypertext Preprocessor）は、Web開発用の言語で、インターネット上の全Webサイトの約70%で使われています。VirusTotalの最近の推計では、ネット上に公開されているPHPホストは510万台以上あり、そのうち約380万台は、攻撃を受けるおそれのあるポートが少なくとも1つ開いています。
