米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、インターネットに公開されたシステムへの攻撃で悪用の証拠が確認されたとして、PHPの重大な脆弱性2件を「悪用が確認された脆弱性（KEV）カタログ」に追加しました。2件は報道で「PHP2Shell」と総称されています。
この脆弱性はCVE-2026-109618とCVE-2026-109619で、いずれもPHPに影響します。認証なしでリモートからコードを実行される恐れがあり、公開Webサーバを運用する組織にとって深刻なリスクとなります。
CVE-2026-109618は、PHPのメモリ不足に起因するメモリ破損の脆弱性です。認証されていない攻撃者が、リモートから任意のコードを実行できる可能性があります。
CVE-2026-109619は、内部のリクエスト状態が古いまま残る脆弱性です。こちらも認証なしのリモートコード実行につながる恐れがあります。
2件とも、メモリ安全性および状態管理に関する弱点に分類されます。該当するCWEは、CWE-416、CWE-755、CWE-824、CWE-1325、CWE-1419です。
CISAは2026年10月26日にこれらの脆弱性をカタログへ追加しました。対処期限は2026年10月29日で、緊急性が高いとの判断がうかがえます。
CISAの登録情報では、いずれの脆弱性についてもランサムウェア攻撃への利用は確認されていません。一方で、拘束力のある運用指令（BOD）26-04に基づき、フォレンジックによるトリアージは必須としています。
PHPは、インターネットに公開されたWebサイト、コンテンツ管理システム、API、企業向けWebアプリケーションなどで広く使われています。
PHPランタイムにリモートから悪用可能な欠陥があれば、攻撃対象は広範囲に及びます。脆弱なバージョンが攻撃者の制御するリクエストを処理する環境では、特に注意が必要です。
悪用に成功すると、攻撃者はサーバ上でコマンドを実行できます。Webシェルの設置、アプリケーションの認証情報の窃取、データベースへのアクセス、横展開の足がかりの確保なども可能になります。
脆弱性の説明にある「認証なし」という点は、とりわけ重要です。到達可能なPHPサービスが、欠陥を引き起こす不正な入力を処理する場合、攻撃者は正規の認証情報や事前のアクセス権がなくても、影響を受けるシステムを狙える可能性があります。
深刻なリモートコード実行の脆弱性は、公開後に自動スキャンや便乗的な攻撃が続くのが通例です。インターネットに公開されているシステムは、最優先の資産として扱ってください。
CISAは対象組織に対し、ベンダーの指針に従って緩和策を適用し、BOD 26-04のリスクベースのパッチ適用要件を満たすよう求めています。緩和策が利用できない場合は、該当製品の使用を中止するよう勧告しています。
この指令では、関係者に対し、影響を受ける各資産がインターネットに公開されているかどうかを評価することも求めています。クラウドサービスについては、該当する修復ガイダンスに従う必要があります。
セキュリティチームはまず、本番・開発・クラウド・外部ホスティングの各環境にあるPHPの導入状況を洗い出してください。
管理者は、導入済みのバージョンを確認し、修正版や緩和策についてベンダーのアドバイザリを確認する必要があります。公開Webトラフィックを受け付けるシステムは、優先して対応してください。
パッチ適用前の不審な動きを探るため、Webサーバ、PHP、エンドポイント、認証の各ログを調査することも欠かせません。CISAは両脆弱性についてフォレンジックによるトリアージを必須としています。
防御側は次のような兆候に注意してください。Webサーバのアカウントが起動した想定外のプロセス、異常なPHPの子プロセス、Web公開ディレクトリに新たに書き込まれたファイル、身に覚えのないスケジュールタスク、改ざんされたアプリケーション設定ファイル、不審な外向きのネットワーク接続などです。
侵害の兆候が見つかった場合は、システムの再構築や認証情報のローテーションを行う前に、関連するログやシステムのアーティファクトを保全する必要があります。
PHP2Shellの悪用はサーバレベルのコード実行につながるため、修正前に公開されていたシステムでは、パッチを適用するだけでは不十分な場合があります。
インシデント対応担当者は、脆弱なPHPソフトウェアを更新した後も、永続化の仕組み、Webシェル、盗まれたシークレット、不正なアカウントが残っていないことを確認してください。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/cisa-warns-php2shell-flaws/
