php2shellの1週間を図解 各国の注意・メーカーの対応・攻撃の観測

PHPの重大な脆弱性2件「php2shell」(CVE-2026-109618・CVE-2026-109619)は、公開の前から攻撃の試みがあり、公開の後は各国の当局とメーカーが一斉に動きました。10月17日から23日までの1週間の動きを、公式の発表をもとに2枚の図と表にまとめます。

脆弱性の中身と上げ方はPHPの重大な脆弱性「php2shell」 各国が警戒、攻撃も観測 すぐ更新をに、攻撃の観測の詳しい中身はCERT/CCがPHPの脆弱性2件を公開、認証なしの攻撃に備え更新をにあります。

10月17日から23日まで、日ごとの動き

公開の前に番号が出回り、PHPは公開を1日早めました。Amazonが記録した試みは、その前の17日からです。調べる期間は、公開の日でなく、少なくとも10月17日からさかのぼるのが安全です(Amazonの勧め)。

当局が求めたのは「直せないなら止める」

多くの当局が、更新できないものの扱いまで書いています。止める、切り離す、移る、の3つです。止める判断を、だれがどの基準でするかを決めておくと、次の同じような件で迷いません(当社の見立て)。

製品の中のPHP メーカーの状況

製品の中のPHPは、サーバーのPHPの一覧に出ません。ファイアウォールや管理の製品は、メーカーの告知を見ないと気づけない場所です。

攻撃の観測 試みは多く、成功の確認はまだ

更新の遅れは、Qualysが利用者1万2000社の匿名のデータで示しています。

国内では、バルテックが10月22日に、PHPの脆弱性を狙う攻撃で顧客の情報が流出したとみなす事実を公表しました(バルテックにPHP脆弱性を狙う攻撃 顧客情報流出の恐れ、クラウド停止)。VAIOも23日に、Webサイトでのセキュリティ事象を公表しています(VAIO、WebサイトでPHPの脆弱性に関連するセキュリティ事象 調査中)。どちらも、php2shellとの関係は公表からは分かりません。

影響する会社・しない会社

• 影響する: 自社でPHPのWebサービスを動かしている会社です。修正版に上げたかと、upload_progressの設定を確かめます。
• 影響する: PHPで動くSaaSやレンタルサーバー、委託先のシステムを使う会社です。提供元の対応と、予防の停止の予定を確かめます。
• 影響する: Palo Alto、Fortinet、Cisco、Okta Access Gateway、Tenableなど、中にPHPを持つ製品を使う会社です。メーカーの告知で状況を追います。
• 影響しない(この件では): PHPを使うWebサービスや製品を、社内にも委託先にも持たない会社です。確かめてから判断します。

今日からできること

1. 修正版に上がったかを確かめる。 8.5.12・8.4.27・8.3.36・8.2.35以降か、配布元の修正入りの版かを、サーバーごとに一覧にします。
2. upload_progressを0のままにする。 PHPの10月23日の勧めどおり、次の定例の版まで session.upload_progress.enabled を0にしておきます。
3. 製品の中のPHPを追う。 ファイアウォールや管理の製品のメーカーの告知を、修正版が出るまで毎日見る担当を決めます。
4. 10月17日からの記録を見る。 Webサーバーの記録で、不審なmultipartの要求、メモリのエラー、PHPのワーカーの異常終了がないかを、17日までさかのぼって調べます(JPCERT/CCの挙げる手がかり)。
5. 止める基準を決めておく。 直せないシステムを止めるか切り離すかを、だれが何を見て決めるかを、業務の担当と決めておきます(当社の見立て)。