PHP2Shellと総称される2件の重大なPHP脆弱性の発見は、企業にとっての課題を浮き彫りにしました。安全に開発されたアプリケーションであっても、その基盤となる技術を通じて攻撃にさらされる可能性があるということです。
2026年10月21日、PHPプロジェクトはCVE-2026-109618およびCVE-2026-109619の修正パッチを公開しました。いずれもCVSS v4.0スコア9.2（緊急）と評価されています。影響を受ける条件下では、攻撃者が認証なしで脆弱なサーバー上でリモートから任意のコードを実行できるおそれがあります。悪用に成功した場合、機密データ、システムの完全性、そして事業に不可欠なサービスの可用性に影響が及ぶ可能性があります。
緊急のパッチ適用は不可欠ですが、PHP2Shellはアプリケーションセキュリティをソースコードの範囲にとどめてはならない理由も示しています。
PHP2Shellで何が起きたのか
PHP2Shellは、個々のアプリケーションのコードの欠陥ではなく、PHPの実行環境そのものに影響します。そのため、セキュアコーディングの実践だけでは、脆弱なバージョンのPHPで稼働するWebサイトを守ることはできません。
Webリクエストを処理するPHP環境（PHP-FPM、mod_phpを使用したApache、php-cgiなど）が影響を受ける可能性があります。WordPress、Laravel、CakePHP、EC-CUBEを利用しているWebサイトやアプリケーションは、基盤となるPHPのインストール状況を確認する必要があります。
10月21日に公開された修正バージョン：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
各組織はPHP公式のセキュリティアドバイザリを確認し、適切なアップデートを速やかに適用してください。
PHP 8.1以前は、PHPプロジェクトによる通常のセキュリティアップデートの提供がすでに終了しています。PHP 8.2も2026年12月31日にセキュリティサポートが終了するため、移行計画の策定が特に重要です。
PHPにとどまらない問題
企業のアプリケーションは、フレームワーク、プログラミング言語の実行環境、データベース、OS、ライブラリ、クラウドサービスに依存しています。これらのコンポーネントに脆弱性があれば、それ自体は適切に開発されたアプリケーションであっても危険にさらされる可能性があります。
複数のアプリケーションを異なるホスティング環境で管理している場合や、外部の開発会社に依存している場合、課題はさらに大きくなります。ソフトウェアのバージョンと責任範囲を正確に把握していなければ、影響を受けるシステムの特定に貴重な時間を費やすことになりかねません。
PHP2Shellは、より大きな原則を改めて示しています。それは、セキュリティには自社で開発したコードだけでなく、技術スタック全体の可視化が必要だということです。たとえば、顧客ポータル自体は安全であっても、そのポータルを稼働させるサーバーが古いPHP実行環境を使用していれば、リスクにさらされることになります。
AIを活用したセキュリティ研究により、脆弱性の発見と分析が加速する可能性もあります。今回は脆弱性の公表とほぼ同時期にエクスプロイトコードが公開されており、修正バージョンのリリース前から悪用の試みが確認されたとセキュリティ機関が報告しています。
脆弱性が次々と見つかり、エクスプロイト情報が急速に広がる中、各組織には影響を評価し効率的に対応するための確立されたプロセスが求められます。
組織が今取るべき対策
1. 影響を受けるシステムの特定
PHPを使用しているWebサイトとアプリケーションを洗い出し、インストールされているバージョンを確認したうえで、インターネットに公開されているシステムや事業に不可欠なシステムを優先します。
2. セキュリティパッチの適用
ベンダーの指示を確認し、互換性を評価したうえで、該当する修正済みのPHPバージョンを導入します。すぐにパッチを適用できない場合は、暫定措置に関する公式の推奨事項に従ってください。暫定措置には、アクセスの制限、監視の強化、影響を受けるサービスの一時停止などが含まれる場合があります。ただし、暫定措置はパッチ適用の代わりにはなりません。
3. 侵害の有無の確認
特にパッチ適用前にシステムが公開状態にあった場合は、ログや入手可能な証拠を確認し、不正アクセスの兆候がないか調べます。調査結果から必要と判断された場合は、パスワードやAPIキーを変更します。パッチを適用しても、すでに発生している侵入は取り除かれません。
4. 設定と依存関係の見直し
Webサーバーの設定、不要なサービス、サードパーティ製ソフトウェア、パッチ管理の責任分担を評価し、継続的なリスクを低減します。
5. サポート終了バージョンからの移行計画
レガシーシステムを特定し、アプリケーションの互換性を評価したうえで、サポート対象のPHPバージョンへの移行経路を確立します。特に複数の関係者が同じアプリケーションを保守している場合は、社内チーム、ホスティング事業者、外部の開発会社の間でアップデートの責任者を明確に定めます。
技術ライフサイクル全体へのセキュリティの組み込み
Rikkeisoftでは、サイバーセキュリティ専門会社であるRK Global Cyber（RGC）が、専門的なセキュリティの知見とRikkeisoftのエンジニアリング力・開発力を結び付けています。
RGCの主なサービス：
- ペネトレーションテスト：Web、モバイル、API、クラウド、ネットワークのセキュリティテスト。
- セキュリティコンサルティング & ハードニング：セキュリティ評価とインフラのハードニング。
- サイバー脅威インテリジェンス：新たな脅威や流出した情報の監視。
- 侵害診断（コンプロマイズアセスメント）：脅威ハンティングと侵入調査。
- セキュリティ人材提供 & BrSE：オンサイトおよびオフショアでのサイバーセキュリティ専門人材の提供。
PHP2Shellへの対応では、影響の評価と不審な活動の調査において、セキュリティコンサルティング & ハードニングと侵害診断（コンプロマイズアセスメント）が特に有効です。
Rikkeisoftでは、PHPの緊急対応支援のご相談も受け付けています。主な内容は次のとおりです。
- 影響を受けるシステムの評価、パッチの適用、必要に応じた暫定措置の実施。
- 不正アクセスの兆候の調査と、必要に応じた認証情報の更新。
- サポート終了済みPHPバージョンからの移行と、移行後の動作確認。
支援内容には、初期評価、対応計画とお見積りのご提案、修正または移行、動作確認、結果報告書の作成を含めることができます。
この支援は、他社が開発したシステムや社内で保守しているシステムも対象です。当初の開発会社と連絡が取れない場合や、PHPのバージョンが不明な場合でもご相談いただけます。
既存のお客様は、担当営業までご連絡ください。その他の方は、お問い合わせフォームから、影響を受けるWebサイトのURL、把握しているサーバー情報、問題の内容をお知らせください。パスワード、APIキー、その他の機密性の高い認証情報は絶対に送信しないでください。
RGCのサイバーセキュリティサービスはこちら：
https://rikkeisoft.com/jp/rk-global-cyber/
支援のご依頼：
https://rikkeisoft.com/jp/contact-us/
目の前のインシデントの先へ
PHP2Shellは、安全なアプリケーション開発がサイバーセキュリティの一部にすぎないことを示しています。サポート対象のソフトウェアを維持すること、依存関係を把握すること、そして効果的な脆弱性対応を準備しておくことも、事業運営を守るうえで同様に重要です。
Rikkeisoftは、エンジニアリングとサイバーセキュリティの専門知識を連携させ、企業のシステム強化を支援してまいります。
本記事の情報は2026年10月22日時点のものです。
