執筆者
山音
元出版社編集委員／JBJ専属記者
公開：
更新：
読了の目安：約5分
2026年10月21日、PHPプロジェクトは、遠隔から任意のコードを実行されるおそれがある二つの重大な脆弱性を公表し、修正版を公開した。「PHP2Shell」と呼ばれる問題である。その後、IPAやJPCERT/CCも、更新や影響確認を呼びかけた。
PHPという名前を聞き慣れなくても、その上で動くWebサービスに日々触れている人は多いはずだ。画面の向こうで共通の技術が使われているから、一つの欠陥への対応が、多くの組織の課題になる。
私は今回の問題を、便利な技術を選んだことへの批判だけで終わらせたくない。社会がその便利さに頼るほど、更新し続ける仕組みと、何が起きているかを説明する責任が重くなる。その点を考えたい。
- 実行基盤PHP
サイトや製品の処理を支える。
- その上で動く仕組みサイト・導入製品
WordPressや機器のWeb画面など。
- 日々の接点サービスの利用者
情報を読み、手続きや操作をする。
PHP公式の説明を読む
作ったプログラムの
今回の二件は、アプリケーションが動く基盤側の処理に関わる。
CVE-2026-109618は、メモリ不足のエラーによって処理が中断されたとき、初期化が完了していない内部データを、後片付けの処理が扱ってしまう問題である。単に「メモリが足りない」という状態ではなく、その状態への対処に欠陥がある。[3]
もう一つのCVE-2026-109619は、処理が終わって解放されたメモリを参照する内部状態が残り、後の処理で使われてしまう問題だ。二件を、同じ一つの「片付けの失敗」として説明すれば、それぞれの違いを見失う。[4]
PHP公式は、mod_phpではアプリケーションのコードが動く前に攻撃を受け得る経路も実証されたと説明している。アプリケーションを丁寧に作ることに加え、その実行基盤を更新する必要がある。ただし、悪用の成否や再現性には、版・構成・メモリの状態などの条件が関わる。[3][5]
深刻度と実際の影響を分ける
「9.2」は重大さの評価。
注意喚起、停止、攻撃の試行、侵害の確認を、それぞれ確かめる。
PHP公式の二つのアドバイザリは、CVSS v4.0の基本値をいずれも9.2としている。FIRSTの基準では、9.0〜10.0が「Critical」に当たる。重大な評価だが、満点は10.0であり、9.2を「最悪の数字」とするのは正確ではない。[3][4][6]
この点数は、何件のサイトが侵害されたかを示す数字ではない。また、運営者が予防のためにサービスを止める場合もある。停止したことだけで、情報流出や改ざんが確認されたとはいえない。逆に、画面が表示されていることだけで、安全だと判断することもできない。
JPCERT/CCは10月29日の追記で、特定のファイアウォール製品に対する侵害の成功を示唆する痕跡が報告されたと紹介している。悪用を現実の問題として受け止めつつ、個別の報告を、官公庁や銀行などすべてのサービスの被害へ広げないことが必要だ。[5]
観測した事実と、将来への見方
AI時代に、
AWSは、自社の観測環境MadPotで、公表前の10月17日から悪用の試行を捉えていたと公表した。一方、その試行が現実のシステムで成功したかは不明とも説明している。観測環境で起きたことと、実際の被害の確認を分けて読む必要がある。[7]
同社は、AIを使った解析によって、修正内容や注意喚起から攻撃手法を組み立てる費用や時間が小さくなり得ると論じている。ただし、この説明を、今回の攻撃がすべてAIによるものだった、あるいはAIが国家的な緊急事態を引き起こしたという証明にすることはできない。[7]
私がここから考えたいのは、組織の対応速度である。問題を知ってから担当者を探し、契約を調べ、更新の可否を確認する。その準備を発覚後に始める仕組みで、十分に間に合うのか。技術の進歩と同じように、対応の手順も見直す必要がある。
山音記者の視点
便利さを、
導入したときだけでなく、使い続ける間の責任を決めておく。
PHPプロジェクトは、今回の二件に対する修正版としてPHP 8.2.35、8.3.36、8.4.27、8.5.12を公開し、更新を呼びかけている。緩和策は特定の攻撃経路への対処にとどまり、二件を完全に解消する代わりにはならないと説明している。[8]
製品やサービスに組み込まれたPHPについては、提供元が示す対象製品と修正方法を確認する必要がある。版の数字だけで判断せず、提供元の修正情報を確かめる。IPAも、ソフトウェアや機器の開発元から出る対策情報に注意するよう求めている。[2][8]
私は、導入のしやすさだけでなく、更新しやすい状態を保つことにも予算と責任を割り当てるべきだと思う。そして利用者には、影響を受ける状態だったか、何を実施したか、侵害を確認したか、まだ何を調べているかを分けて伝える。その説明が、混乱と憶測を減らす。
何に依存しているかを把握する
自社のサイトだけでなく、委託先のサービスや導入した製品についても、影響確認を誰に依頼するかを決めておく。
更新と確認を実行できるようにする
対応する担当者、判断する人、必要な停止や動作確認の手順を、平時から整理する。
確認できた影響を説明する
予防のための停止、攻撃の試行、侵害の確認を混同せず、調査中の事項と次の案内時期を示す。
公表資料に基づく考察
今回の確認範囲
本稿は2026年11月11日に、PHP公式の案内と二件のアドバイザリ、IPAの11月2日更新版、JPCERT/CCの10月29日更新版、WordPress・FIRST・AWSの公開資料を確認してまとめた。個別の運営者への取材、サーバーやログの独自調査、攻撃の再現は行っていない。
国内外の侵害件数の総数、個別サービスの構成や停止理由、各攻撃でのAI利用は、本稿の確認資料だけでは確定していない。PHPの利用率を独自に集計したものでもない。公表資料で確認できる内容と、その先にある記者の問題意識を分けて伝えたい。
便利すぎるものには、リスクもある。しかし、そこで話を終わらせれば、便利さを支える仕事は見えないままである。問題が見つかったときに調べ、更新し、説明できる。その状態を保つことまで含めて、社会の基盤をつくる仕事なのだと思う。
出典・参考資料
- [1] Requirements（新しいタブで開く）
WordPress.org ／ 確認：
WordPressの実行にPHPが必要であることを公式の動作要件で確認。PHP全体の利用率や、個別のサイトの採用技術を示す統計としては使用しない。
- [2] PHPの脆弱性対策について（2026年10月22日公開、11月2日更新）（新しいタブで開く）
IPA（情報処理推進機構） ／ 確認：
二件のCVE、対象系列と修正版、製品・機器にもPHPが組み込まれること、提供元の情報を確認する案内を参照。国内被害の有無を現在時点で独自に認定したものではない。
- [3] RCE via OOM corruption（CVE-2026-109618、2026年10月21日公表）（新しいタブで開く）
PHPプロジェクト ／ 確認：
Summary、Impact、CVSS v4.0の基本値9.2を参照。メモリ不足時の処理と、初期化途中の内部状態、実証された影響と再現性の条件を確認。悪用手順の再現は行っていない。
- [4] RCE via stale global state（CVE-2026-109619、2026年10月21日公表）（新しいタブで開く）
PHPプロジェクト ／ 確認：
Summary、Impact and reliability、CVSS v4.0の基本値9.2を参照。解放後のメモリを参照する内部状態と、次の処理との関係を確認。二件の仕組みを同一視しない。
- [5] PHPにおける複数の脆弱性に関する注意喚起（2026年10月22日公開、10月29日更新）（新しいタブで開く）
JPCERT/CC ／ 確認：
概要、10月29日追記、対策、侵害調査を参照。攻撃試行と、特定製品の侵害を示唆する痕跡についての報告を区別する。別途案内されるCVE-2026-115560は本稿の二件と混同しない。
- [6] CVSS v4.0 Specification Document「Qualitative Severity Rating Scale」（新しいタブで開く）
FIRST ／ 確認：
Table 22のCritical（9.0〜10.0）とスコアの範囲を参照。9.2を満点や実際の被害件数として扱わない。
- [7] Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot（2026年10月21日）（新しいタブで開く）
Amazon Web Services ／ 確認：
MadPotでの悪用試行の観測、実システムでの成功が不明であるとの説明、AI支援による攻撃準備時間についての同社の見方を参照。JBJが個別の攻撃でのAI利用を立証したものではない。
- [8] Security advisory: Critical remote code execution vulnerabilities, update now（2026年10月21日）（新しいタブで開く）
PHPプロジェクト ／ 確認：
二件の修正バージョン、更新の推奨、緩和策の限界、ディストリビューション・LTSベンダーによる修正への案内を参照。ここに挙げる四つの版は今回の修正を含むリリースで、掲載時点の全系列の最新安定版を示すものではない。
訂正・更新の記録
PHPの実行基盤、サイト・導入製品、利用者の関係を整理した概念図と、本文の三つの論点への案内、山音記者の公開記事への導線を追加しました。
共通の技術への依存と保守・説明の責任を、本文と行き来しながら読めるようにするための更新です。個別のサービスの構成や被害を認定した図ではありません。