PHP2Shellの緊急更新「PHPだから危険」と一括りにしないために

資料で確認できること

10月21日に4系統の修正版を公開、二件ともCVSS 9.2

PHP公式は10月20日に、CVSS v4.0で9.2と評価した二件の脆弱性を修正するリリースを予告し、21日にPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。対象はCVE-2026-109618とCVE-2026-109619です。

公式説明では、影響を受けるのは各修正版より前の対応系列です。PHP 8.2は2026年12月31日にサポート終了予定で、更新後も対応中の系列へ移行する計画が必要です。利用の有無や版は、サイトの見た目やURLだけでは判断できません。

• 資料 01PHP：Security advisory: Critical remote code execution vulnerabilities, update now

資料で確認できること

更新、再起動、ログ保全を先に。緩和策だけで終えない

PHP公式とJPCERT/CCはいずれも、修正版を速やかに適用するよう案内しています。限定的な緩和策は示されていますが、特定の経路への対処にとどまり、更新の代わりにはならないとされています。更新後は、実際に稼働しているプロセスへ反映されたかを確認します。

JPCERT/CCは、不自然なPHPSESSID Cookie、不審なmultipart/form-data形式のリクエスト、メモリ上限に関するエラーやHTTP 500、PHPワーカーの異常終了・頻繁な再起動などの確認を挙げています。痕跡がないことだけで攻撃を受けていないとは断定できず、侵害が疑われる場合はログなどの証拠を保全して影響範囲を調べます。

• 資料 01PHP：Security advisory: Critical remote code execution vulnerabilities, update now
• 資料 02JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

未確認の点

AIが関わる攻撃速度は論点だが、原因の一語にしない

AWSは、公開された修正差分や技術情報から攻撃手法を組み立てる時間をAI支援が短くし得ると論じています。しかし、観測されたすべての試行がAIで作られたことや、AIによって多数の実システムが侵害されたことを示す公的な集計は、10月23日の確認範囲ではありません。

『AIが見つけた』『AIが攻撃した』という見出しだけでは、発見、検証、悪用、被害確認の主体と段階が曖昧になります。AIの役割は根拠の示された範囲に限定し、更新の遅れや資産管理、監視、説明の問題と分けて検証する必要があります。

• 資料 03Amazon Web Services：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot

未確認の点

実際の侵害数、個別サイトの版と設定、被害範囲は未確認

10月23日の確認時点で、国内外で実際に侵害されたシステムの総数、報道で名前が挙がる個別の官公庁・企業・施設が影響版を使用していたか、停止が本脆弱性への予防対応だったか、情報流出や改ざんが起きたかは、今回確認した資料だけでは一括して確定できません。

JBJはPHPプロジェクト、JPCERT/CC、AWS、個別のサイト運営者、攻撃者へ直接取材しておらず、各組織の構成、設定、ログ、調査報告書を独立に確認していません。

• 資料 01PHP：Security advisory: Critical remote code execution vulnerabilities, update now
• 資料 02JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
• 資料 03Amazon Web Services：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot

確認の範囲

このコラムの確認範囲

本稿は2026年10月23日に、PHP公式の10月20日・21日付案内、JPCERT/CCの10月22日付注意喚起、AWS Security Blogの10月21日付観測説明を確認しました。提供原稿は着眼点として参照しましたが、裏付けを確認できない個別サイト名、PHP利用率、全利用者への一律の評価は掲載していません。掲載画像は更新情報とアクセス記録を照合する姿勢を表す説明用イメージで、各組織の実際の職員・設備・画面・攻撃・被害記録ではありません。

• 資料 01PHP：Security advisory: Critical remote code execution vulnerabilities, update now
• 資料 02JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
• 資料 03Amazon Web Services：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot

JBJの見解

緊急性は高い。しかし、PHP全体への断定は別の話

PHP公式は二つの脆弱性を、認証なしで遠隔コード実行につながり得る重大な問題として公表しました。完全な緩和策はなく、修正版への更新が安全な選択だとしています。運営者が急いで更新し、必要に応じてサービスを一時停止するのは、利用者を守るための合理的な対応です。

ただし、重大な脆弱性が見つかったことと、『PHPを採用するサイトはすべて危険』『PHPを選んだ担当者が悪い』という評価は同じではありません。使っている版、外部から到達できる経路、設定、攻撃の有無、侵害の証拠を確認せずに、技術や組織を一括りにしないことが必要です。

• 資料 01PHP：Security advisory: Critical remote code execution vulnerabilities, update now
• 資料 02JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

JBJの見解

『影響版』『到達可能』『攻撃試行』『侵害確認』を分ける

第一に修正前の版を使っていること、第二に問題となる経路へ外部から到達できること、第三に攻撃とみられる通信を受けたこと、第四にコード実行や情報流出などの侵害が確認されたことは、別々の段階です。前の段階だけで後ろの段階まで起きたとは確定できません。

AWSは自社の観測環境MadPotで10月17日と21日に悪用の試行を捉えたと説明する一方、現実のシステムで成功したかは不明としています。『攻撃の試行が観測された』という重要な情報を、『特定の企業や官公庁が侵害された』という断定へ広げてはいけません。

• 資料 02JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
• 資料 03Amazon Web Services：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot

JBJの見解

サービス停止は、被害の証明ではなく予防措置の場合がある

運営者は、版の確認、更新、ログ調査、再起動、動作確認のために公開を止めることがあります。停止は利用者に影響するため説明が必要ですが、停止した事実だけで侵害や情報流出が確認されたとは言えません。

反対に、画面が表示されていることも安全の証明にはなりません。読者は停止の有無だけで判断せず、運営者が公表する対象システム、対応時刻、確認済みの影響、調査中の範囲を確認する必要があります。

JBJの見解

運営者は、版・範囲・対応・時刻を分けて説明する

利用者へ説明するときは、『影響を受ける版だったか』『問題の経路が利用可能だったか』『攻撃の試行を確認したか』『侵害や流出を確認したか』『いつ更新・停止・再開したか』を分けます。調査中の項目は調査中とし、後日の更新履歴を残します。

重大性を弱める必要はありませんが、『対策済み』だけでは利用者が何を確認したのか分かりません。逆に、確認していない被害や他社への影響まで列挙すると、不安と誤情報を増やします。