PHPの重大な脆弱性「php2shell」：知っておくべきことと対策

2026年10月21日、PHPプロジェクトは、2つの重大な脆弱性「CVE-2026-109618」と「CVE-2026-109619」の修正プログラムを公開しました。いずれもCVSSスコアは9.2で、総称して「php2shell」と呼ばれています。公開以降、アクロニスには対応方法に関するお問い合わせが寄せられています。

今回の脆弱性は、PHPエンジンに存在します。そのため、WordPress、Drupal、Magento、Laravelを使用するサイトでは、すべてのプラグインやテーマを最新の状態にしていても、影響を受ける可能性があります。アプリケーションを更新しても、その基盤となるPHPエンジンは修正されないためです。攻撃者はアカウントを持っていなくても、サーバー上でコードを実行したり、メモリ内のデータを読み取ったりすることができます。

修正プログラムは10月21日14時（UTC、日本時間同日23時）に公開されましたが、脆弱性の詳細は前日に流出したと報じられています。アクロニス脅威リサーチユニット（Acronis Threat Research Unit：TRU）によると、複数のベンダーが10月17日から悪用の試みを観測しており、情報流出後にはその活動が増加しています。10月22日時点では、侵害に成功した事例は公には確認されておらず、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も、これらのCVEを「既知の悪用された脆弱性（KEV）カタログ」に追加していません。ただし、この状況は今後変わる可能性があります。過去に発見されたPHPの脆弱性「CVE-2024-4577」と「CVE-2019-11043」は、その後、ランサムウェア攻撃との関連が確認されています。

Acronis Cyber ProtectはPHPを使用していないため、お客様やパートナー様が本製品に対して修正プログラムを適用する必要はありません。

一方、アクロニスが運営する一部のWebサイトではPHPを使用しています。これらについては、修正プログラムの公開直後にオフラインにし、その後、修正を適用しました。悪用の試みがすでに確認されている場合は、この順序で対応することが安全です。当社のエンジニアは、対象となる2つのアプリケーションをPHP 8.5に移行し、同日中にサービスを再開しました。また、コミュニティフォーラムも外部ベンダーによる更新が完了し、サービスを再開しています。

顧客向けWebサイト、cPanelやPleskを使用するサーバー、問い合わせ管理・請求ポータル、PHPを組み込んだアプライアンス、IIS・XAMPP・WAMP環境でPHPを実行するWindowsサーバーなど、PHPを稼働させている場合は対応が必要です。TRUは、次の順序での対応を推奨しています。

1. PHPが存在するすべての場所を洗い出します。 コンテナや、PHPを同梱するサードパーティ製ソフトウェアも対象に含めてください。調査すると、想定していなかった場所でPHPが見つかることも少なくありません。
2. PHP 8.5.12、8.4.27、8.3.36、8.2.35、または利用中のディストリビューションが提供する修正済みパッケージに更新します。 ディストリビューションによっては、修正を旧バージョンに適用する「バックポート」を行い、バージョン番号を変更しない場合があります。そのため、php -vの表示だけで判断せず、パッケージの変更履歴で対象のCVE IDに対する修正を確認してください。
3. 更新後は、PHPを実行するすべてのプロセスを完全に再起動します。 Apache、PHP-FPM、IISのアプリケーションプールなどが対象です。コンテナイメージも再ビルドしてください。稼働中のプロセスは、再起動するまで古いコードを保持します。Webサイトやプラグインを更新するだけでは、PHPエンジンの脆弱性は解消されません。
4. PHP 8.1以前を使用している場合は、ベンダーが提供する修正を適用するか、新しいバージョンに移行します。 これらのバージョンには、PHPプロジェクトによる公式の修正版は提供されません。PHP 7.3以前の場合は、アップグレードが完了するまでインターネットからのアクセスを制限してください。
5. 直ちに更新できない場合は、暫定的な対策を検討します。 php2shell専用のルールを備えたWebアプリケーションファイアウォール（WAF）の利用に加え、提案されているPHPの暫定設定を検討し、変更後に再起動してください。具体的には、session.upload_progress.enabled=0、サーバーレベルでのmemory_limit=-1の設定とコンテナ側でのメモリ上限の設定、post_max_sizeへの小さな値の設定、PHP 8.5でのfatal_error_backtraces=0の設定です。これらはリスクの軽減に役立つ可能性がありますが、修正プログラムの適用に代わるものではありません。
6. 自社サーバーの検証を目的として、攻撃の「概念実証（PoC）」コードをダウンロードしないでください。 偽のコードや、マルウェアを含むものが存在します。

悪用の試みは、修正プログラム公開の4日前にあたる10月17日ごろから始まっています。そのため、10月21日に修正を適用したサーバーでも、すでに侵入されている可能性があります。インターネットに公開しているPHPサーバーについて、10月17日以降の活動を確認してください。

• Webサーバーのプロセスによる、不審なシェルやツールの起動 apache2、httpd、php-fpm、php-cgi、Windows環境のw3wp.exeやphp-cgi.exeが、シェルやcurl、wget、cmd.exe、powershell.exeなどを起動していないか確認します。
• Webディレクトリ内のPHPファイルの追加・変更 新しい.phpファイルが作成されていないか、既存のファイルが変更されていないか確認します。
• cronジョブ、スケジュールされたタスク、ユーザーアカウントの追加 身に覚えのないジョブやタスク、アカウントが作成されていないか確認します。
• PHPエラーログに記録されたメモリ不足や異常終了 メモリ不足のエラーに「in Unknown on line 0」が含まれていないか、セグメンテーションフォールトが集中的に発生していないか確認します。
• Webログに記録された特徴的なリクエスト PHP_SESSION_UPLOAD_PROGRESSを含むマルチパート形式のPOSTリクエストや、php2shell-で始まるユーザーエージェントがないか確認します。

攻撃の一形態では、サーバーのメモリ内の情報が漏えいしても、ログにほとんど痕跡が残りません。修正前のApache mod_php環境をインターネットに公開していた場合は、そのサーバーのメモリに保持されていた認証情報を変更してください。データベースのパスワードやAPIキーなど、設定ファイルに記載されている認証情報が対象です。

Acronis MDRでは、今回の攻撃および関連するPHPの脆弱性に対応する検知ルールを更新しています。また、TRUはMDRをご利用のお客様の環境を対象に脅威ハンティングを実施しており、問題が見つかった場合は最優先で報告します。

今回のようなセキュリティインシデントや、今後発生する脅威の調査・対応を支援するAcronis MDRの導入をご検討ください。