先週、ウェブ開発で広く使われているサーバーサイドスクリプト言語「PHP」に、2件の重大な脆弱性が見つかったことが明らかになりました。この発表を受けて各国の政府機関がセキュリティ勧告を出し、ウェブサイト運営者はパッチ適用に追われています。念のためサイトをオフラインにしたケースもありました。パッチを適用していないサーバーでは、攻撃者がログインなしで任意のコードを実行できるおそれがあるためです。世界のウェブサイトの4分の3が何らかの形でPHPを使っていると推定されており、その普及度の高さが悪用の温床になっています。実際、AIによって発見され「PHP2Shell」と名付けられたこれらの脆弱性を突く最初の試みは、すぐに確認されました。
CVE-2026-109618とCVE-2026-109619の概要に加え、ウェブサイト運営者とIT部門が安全を保つために取るべき対策を、2分強で解説します。
具体的な緩和策などの詳細は、PHP Project、CISA、CERT-EU、NCSCが公開した勧告を参照してください。
翻訳元: https://www.welivesecurity.com/en/videos/php2shell-what-know-two-critical-php-flaws/
本記事は welivesecurity.com の記事を翻訳・要約したものです。
