--- title: PHPの重大な脆弱性「php2shell」：知っておくべきことと対策 description: PHPの重大な脆弱性「php2shell」の影響、アクロニスの対応、PHPサーバーへの修正プログラムの適用と侵害の有無を確認するための手順を解説します。 canonical_url: https://www.acronis.com/ja/blog/posts/critical-php2shell-vulnerabilities-what-you-need-to-know/ locale: ja last_updated: 2026-10-27 --- [Acronis ブログ](https://www.acronis.com/ja/blog/) # PHPの重大な脆弱性「php2shell」：知っておくべきことと対策 PHPの重大な脆弱性「php2shell」の影響、アクロニスの対応、PHPサーバーへの修正プログラムの適用と侵害の有無を確認するための手順を解説します。 [![Image 2: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png)](https://www.acronis.com/ja/blog/authors/acronis/ "Acronis Editorial Team") [Acronis Editorial Team](https://www.acronis.com/ja/blog/authors/acronis/) 5 分で読める内容です Last updated 2026年10月23日(金) その他の利用可能な言語[English](https://www.acronis.com/en/blog/posts/critical-php2shell-vulnerabilities-what-you-need-to-know/) 2026 年 10 月 21 日、PHP プロジェクトは、2 つの重大な脆弱性「CVE-2026-109618」と「CVE-2026-109619」の修正プログラムを公開しました。いずれも CVSS スコアは 9.2 で、総称して「php2shell」と呼ばれています。公開以降、アクロニスには対応方法に関するお問い合わせが寄せられています。 ## PHPの脆弱性とは 今回の脆弱性は、PHP エンジンに存在します。そのため、WordPress、Drupal、Magento、Laravel を使用するサイトでは、すべてのプラグインやテーマを最新の状態にしていても、影響を受ける可能性があります。アプリケーションを更新しても、その基盤となる PHP エンジンは修正されないためです。攻撃者はアカウントを持っていなくても、サーバー上でコードを実行したり、メモリ内のデータを読み取ったりすることができます。 修正プログラムは 10 月 21 日 14 時（UTC、日本時間同日 23 時）に公開されましたが、脆弱性の詳細は前日に流出したと報じられています。アクロニス脅威リサーチユニット（A cronis Threat Research Unit：TRU）によると、複数のベンダーが 10 月 17 日から悪用の試みを観測しており、情報流出後にはその活動が増加しています。10 月 22 日時点では、侵害に成功した事例は公には確認されておらず、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も、これらの CVE を「既知の悪用された脆弱性（KEV）カタログ」に追加していません。ただし、この状況は今後変わる可能性があります。過去に発見された PHP の脆弱性「CVE-2024-4577」と「CVE-2019-11043」は、その後、ランサムウェア攻撃との関連が確認されています。 ## アクロニスの対応状況 Acronis Cyber Protect は PHP を使用していないため、お客様やパートナー様が本製品に対して修正プログラムを適用する必要はありません。 一方、アクロニスが運営する一部の Web サイトでは PHP を使用しています。これらについては、修正プログラムの公開直後にオフラインにし、その後、修正を適用しました。悪用の試みがすでに確認されている場合は、この順序で対応することが安全です。当社のエンジニアは、対象となる 2 つのアプリケーションを PHP 8.5 に移行し、同日中にサービスを再開しました。また、コミュニティフォーラムも外部ベンダーによる更新が完了し、サービスを再開しています。 ## 自社で管理するサーバーで必要な対応 顧客向け Web サイト、cPanel や Plesk を使用するサーバー、問い合わせ管理・請求ポータル、PHP を組み込んだアプライアンス、IIS・XAMPP・WAMP 環境で PHP を実行する Windows サーバーなど、PHP を稼働させている場合は対応が必要です。TRU は、次の順序での対応を推奨しています。 1. PHP が存在するすべての場所を洗い出します。コンテナや、PHP を同梱するサードパーティ製ソフトウェアも対象に含めてください。調査すると、想定していなかった場所で PHP が見つかることも少なくありません。 2. PHP 8.5.12、8.4.27、8.3.36、8.2.35、または利用中のディストリビューションが提供する修正済みパッケージに更新します。ディストリビューションによっては、修正を旧バージョンに適用する「バックポート」を行い、バージョン番号を変更しない場合があります。そのため、php -v の表示だけで判断せず、パッケージの変更履歴で対象の CVE ID に対する修正を確認してください。 3. 更新後は、PHP を実行するすべてのプロセスを完全に再起動します。 Apache、PHP-FPM、IIS のアプリケーションプールなどが対象です。コンテナイメージも再ビルドしてください。稼働中のプロセスは、再起動するまで古いコードを保持します。Web サイトやプラグインを更新するだけでは、PHP エンジンの脆弱性は解消されません。 4. PHP 8.1 以前を使用している場合は、ベンダーが提供する修正を適用するか、新しいバージョンに移行します。これらのバージョンには、PHP プロジェクトによる公式の修正版は提供されません。PHP 7.3 以前の場合は、アップグレードが完了するまでインターネットからのアクセスを制限してください。 5. 直ちに更新できない場合は、暫定的な対策を検討します。 php2shell 専用のルールを備えた Web アプリケーションファイアウォール（WAF）の利用に加え、提案されている PHP の暫定設定を検討し、変更後に再起動してください。具体的には、session.upload_progress.enabled=0、サーバーレベルでの memory_limit=-1 の設定とコンテナ側でのメモリ上限の設定、post_max_size への小さな値の設定、PHP 8.5 での fatal_error_backtraces=0 の設定です。これらはリスクの軽減に役立つ可能性がありますが、修正プログラムの適用に代わるものではありません。 6. 自社サーバーの検証を目的として、攻撃の「概念実証（PoC）」コードをダウンロードしないでください。偽のコードや、マルウェアを含むものが存在します。 ## 脆弱性の有無に加え、侵害の痕跡も確認してください 悪用の試みは、修正プログラム公開の 4 日前にあたる 10 月 17 日ごろから始まっています。そのため、10 月 21 日に修正を適用したサーバーでも、すでに侵入されている可能性があります。インターネットに公開している PHP サーバーについて、10 月 17 日以降の活動を確認してください。 * Web サーバーのプロセスによる、不審なシェルやツールの起動 apache2、httpd、php-fpm、php-cgi、Windows 環境の w3wp.exe や php-cgi.exe が、シェルや curl、wget、cmd.exe、powershell.exe などを起動していないか確認します。 * Web ディレクトリ内の PHP ファイルの追加・変更 新しい.php ファイルが作成されていないか、既存のファイルが変更されていないか確認します。 * cron ジョブ、スケジュールされたタスク、ユーザーアカウントの追加 身に覚えのないジョブやタスク、アカウントが作成されていないか確認します。 * PHP エラーログに記録されたメモリ不足や異常終了 メモリ不足のエラーに「in Unknown on line 0」が含まれていないか、セグメンテーションフォールトが集中的に発生していないか確認します。 * Web ログに記録された特徴的なリクエスト PHP_SESSION_UPLOAD_PROGRESS を含むマルチパート形式の POST リクエストや、php2shell-で始まるユーザーエージェントがないか確認します。 攻撃の一形態では、サーバーのメモリ内の情報が漏えいしても、ログにほとんど痕跡が残りません。修正前の Apache mod_php 環境をインターネットに公開していた場合は、そのサーバーのメモリに保持されていた認証情報を変更してください。データベースのパスワードや API キーなど、設定ファイルに記載されている認証情報が対象です。 ## Acronis MDRの対応 Acronis MDR では、今回の攻撃および関連する PHP の脆弱性に対応する検知ルールを更新しています。また、TRU は MDR をご利用のお客様の環境を対象に脅威ハンティングを実施しており、問題が見つかった場合は最優先で報告します。 今回のようなセキュリティインシデントや、今後発生する脅威の調査・対応を支援する Acronis MDR の導入をご検討ください。 [MSPのサイバーセキュリティ](https://www.acronis.com/ja/blog/tags/msp-cybersecurity/) [脆弱性管理](https://www.acronis.com/ja/blog/tags/vulnerability-management/) ## Written by ![Image 3: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png) Acronis Editorial Team [前の記事](https://www.acronis.com/ja/blog/posts/introducing-new-acronis-ceo-prakash-panjwani/) [アクロニスの新CEO プラカシュ・パンジワニのご紹介](https://www.acronis.com/ja/blog/posts/introducing-new-acronis-ceo-prakash-panjwani/) Acronis について 2003年にシンガポールで設立されたスイス企業であるアクロニスは、世界15か所にオフィスを置き、60か国以上に従業員を擁しています。Acronis Cyber Platformは150か国に26言語で提供され、21,000社を超えるサービスプロバイダーに採用され、75万社以上の企業を保護しています。 [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis ブログ](https://www.acronis.com/ja/blog/) ![Image 4: アクロニスの新CEO プラカシュ・パンジワニのご紹介](https://staticfiles.acronis.com/images/blog-card/30cb571f6f1aaa131733e5727a4a250c.png) [アクロニスの新CEO プラカシュ・パンジワニのご紹介](https://www.acronis.com/ja/blog/posts/introducing-new-acronis-ceo-prakash-panjwani/) アクロニスの新しい最高経営責任者（CEO）に、プラカシュ・パンジワニ（Prakash Panjwani）が就任しました。サイバーセキュリティ業界でCEOとして豊富な経験を持つプラカシュは、これまでWatchGuard TechnologiesとSafeNetでCEOを務めてきました。 **2026年10月16日(金)**3 分で読める内容です ![Image 5: アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://staticfiles.acronis.com/images/blog-card/e281cc03e2f1c206b3a0980077147e72.png) [アクロニス、MDRを拡充し ワークスペースの保護を拡大](https://www.acronis.com/ja/blog/posts/acronis-expands-mdr-toward-broader-workspace-protection/) サイバー攻撃は業務時間に関係なく発生します。夜間や週末、休暇中も例外ではありません。Acronis MDR by Acronis TRU（アクロニス自社が提供するMDRサービス）は、パートナーが自社でセキュリティオペレーションセンター（SOC）を構築することなく、エキスパートによる24時間365日の監視、調査、対応を可能にします。 アクロニスは、こうした専門知識の提供をより容易にし、パートナーがより多くのリスクに対処できるよう、MDRサービスの機能を拡充しています。これらの取り組みは、アクロニスによるマネージドセキュリティへの幅広いコミットメントに基づくものです。相互につながるワークスペースをMSP（ITサービス事業者）が保護できるように支援すると同時に、その顧客が脅威の調査、効果的な対応、事業継続に必要なエキスパートの支援を受けられることを目的としています。 **2026年10月14日(水)**8 分で読める内容です ![Image 6: PCリプレース時のキッティングを効率化：Windows 11 PCの展開方法を見直す](https://staticfiles.acronis.com/images/blog-card/5da43078ead9e5b9a4907e4e4b388a32.png) [PCリプレース時のキッティングを効率化：Windows 11 PCの展開方法を見直す](https://www.acronis.com/ja/blog/posts/pc-refresh-kitting/) PCリプレースやWindows 11 PCへの移行で増えるキッティング作業。1台ずつのセットアップから、マスターイメージを使った複数PCへの一括展開へ。PC更新時にキッティング方法を見直すポイントとAcronis Snap Deployの活用方法を解説します。 **2026年9月16日(水)**6 分で読める内容です