米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、「PHP2Shell」と総称されるPHPの2件の重大な脆弱性を、悪用が確認されたセキュリティ上の欠陥のカタログに追加しました。
この2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を突くと、権限を持たない攻撃者が、パッチ未適用のシステムでリモートコード実行（RCE）に至る可能性があります。ただし、攻撃の難易度は高いとされています。
PHPのセキュリティチームは、10月21日（水）にこの2件の脆弱性を修正しました。その前日には、セキュリティ担当者に対し、アップデートが公開され次第すぐに適用するよう呼びかけていました。
PHP2Shellの脆弱性に関する詳細は、重要インフラ事業者と共有されていたCVE IDや緩和策も含めて流出しました。パッチの公開前には、概念実証（PoC）コードもいくつかオンラインに公開されました。ただしPHPのセキュリティチームは、いずれも実際には機能しなかったとしています。
複数のセキュリティ企業（Cloudflare、Amazon、Hadrian、watchTowr、Previdian、Patchstackなど）も、公表前から広範な悪用の試みを検知していました。ただし、いずれも失敗に終わったと判断しています。
Amazon Threat Intelligenceのセキュリティ研究者も、攻撃者がPHP2Shellの脆弱性を狙い始めたのは、パッチ公開の4日前だったと述べています。
連邦機関に木曜日までの対応を義務付け
CISAは月曜日、これらの脆弱性を追加し、既知の悪用された脆弱性（KEV）カタログに掲載しました。あわせて、拘束力のある運用指令（BOD）26-04に基づき、連邦文民行政機関（FCEB）に対し、木曜日までにシステムを保護するよう命じています。
CISAは「この種の脆弱性は、悪意あるサイバー攻撃者が頻繁に用いる攻撃経路であり、連邦政府のシステム全体に重大なリスクをもたらします」と警告しました。
「BOD 26-04の対象はFCEB機関のみですが、CISAはすべての組織に対し、リスクに基づく脆弱性管理を採用し、KEVカタログ掲載の脆弱性への対処を優先するよう推奨します」
CISAは、進行中のPHP2Shell攻撃について、まだ詳細を明らかにしていません。一方、Perplexityで検知・対応部門を率いるAdel Karimi氏は、週末に実環境での悪用を最初に確認しました。同氏のハニーポットは、PHP 8.4.26を実行するApache mod_phpの環境に対するリモートコード実行の痕跡を記録しています。
金曜日には、PHPのセキュリティチームが、パッチが未公開の新たなRCE脆弱性（CVE-2026-115560）についても緩和策を公開しました。この脆弱性は、「設定とアプリケーションコードの組み合わせが特殊な」システムが標的になった場合に悪用される恐れがあります。
PHPは全ウェブサイトの約70%で使われています。VirusTotalの推計によると、インターネットに公開されたPHPホストは510万台を超えます。このうち約380万インスタンスは、少なくとも1つのポートが攻撃にさらされた状態です。
