2026年10月21日、PHPセキュリティチームは、CVE-2026-109618およびCVE-2026-109619という2つの重大な脆弱性（総称して「PHP2Shell」と呼ばれる）に対する緊急アップデートを公開しました。これらの脆弱性は特定のアプリケーションではなく、PHPランタイム自体に存在するため、PHPベースの幅広いアプリケーションが影響を受ける可能性があります。 脆弱性の種類や悪用に必要な条件によっては、認証されていない攻撃者が、影響を受けるサーバー上で任意のコードを実行したり、そのメモリから機密情報にアクセスしたりする可能性があります。10月26日現在、複数のセキュリティ組織が悪用試行を報告しており、公開された概念実証（PoC）エクスプロイトも入手可能です。
Nozomi Networks 当社の製品はPHPを使用していないため、いずれのCVEの影響も受けません。 弊社ではこれらの脆弱性を追跡し、セキュリティコンテンツを更新することで、お客様が影響を受ける可能性のある資産を特定し、不審なネットワーク活動を調査できるよう支援しています。お客様は Nozomi Networks Vantage および導入済みのセンサーを活用して、資産インベントリ、脆弱性情報、および関連するセキュリティアラートを確認できます。
PHP2Shell は Log4Shell ではありません
この名称から比較されがちですが、両者には重要な違いがあります。Log4Shellは比較的単純な悪意のある文字列によって悪用される可能性がありました。一方、PHP2Shellは複雑なメモリ破損の脆弱性を伴っており、悪用が成功するかどうかは、標的となるコンポーネント、PHPの設定、メモリレイアウト、およびセキュリティ対策に依存します。 深刻度が「重大」であっても、必ずしも悪用が容易であるとは限らず、信頼性の高いエクスプロイトを作成することは、Log4Shellを悪用するよりもはるかに困難な場合があります。とはいえ、公開されたエクスプロイトコードは依然として出回っているため、脆弱性が露呈しているPHPのインストール環境については、最優先で対処する必要があります。
CVE-2026-109618 および CVE-2026-109619 の動作
これらの脆弱性はどちらも、リクエスト処理中、特に予期せぬエラーによって通常の実行が中断された際に、PHPがメモリをどのように管理するかという点に関連しています。これにより、メモリが安全でない状態となり、攻撃者が特別に細工されたHTTPリクエストを利用してこの状態を悪用する可能性があります。
- CVE-2026-109618 は、メモリ不足状態およびリクエストのクリーンアップ処理における不適切なメモリ処理に関連しており、リモートでのコード実行や、機密性の高いプロセスメモリの漏洩につながる可能性があります。CVE-2026-109618 に対するパッチは、PHP のメモリ不足処理におけるさまざまな脆弱性を修正するものです。
- CVE-2026-109619は、以前に割り当てられたメモリが解放された後も参照され続けた場合に発生し、内部状態の破損を通じてリモートコード実行につながる可能性があります。CVE-2026-109619に対するパッチは、リクエストスコープの状態が有効期間を超えて信頼されてしまうという繰り返し発生するパターンの複数の事例を修正するものであり、エラー処理、セッション管理、シリアライゼーション、およびその他のコンポーネントに影響を及ぼします。
脆弱性やPHPの設定によっては、攻撃者がPHPサービスの権限でコードを実行したり、認証情報、トークン、APIキーが含まれるメモリを読み取ったり、アプリケーションファイルを改ざんしたり、悪意のあるコードをインストールしたり、サーバーのネットワーク接続を利用して他のシステムにアクセスしたりする可能性があります。特に注目すべきは、アプリケーション自体にコーディング上の誤りがなくても、脆弱性のあるPHPランタイム上で実行されているだけで、本来は安全なアプリケーションであっても攻撃の標的となる可能性があるという点です。
影響を受けるPHPバージョンおよび修正済みのPHPバージョン
この脆弱性は、PHP 5.4以降のバージョンに影響を及ぼします。PHPセキュリティチームは、サポート対象のブランチ向けに修正プログラムを公開しました：
ここで注意すべき点が2つあります：
- Debian、Ubuntu、Red Hat などの Linux ベンダーは、アップストリームのバージョン番号を変更せずにセキュリティ修正をバックポートすることが多いため、パッケージはすでに修正されているにもかかわらず、アセットが脆弱性があるように見えるバージョンを報告する場合があります。結論を出す前に、インストールされているパッケージのバージョンを OS ベンダーのアドバイザリと照らし合わせて確認してください。
- PHP 8.1 およびそれ以前のバージョンには、通常のセキュリティ更新プログラムが提供されなくなりました。PHP セキュリティチームは、独自のビルドを維持管理している組織向けに、7.4、8.0、および 8.1 向けの最小限のソースコードのバックポートを公開していますが、これらによって完全なサポートが復活するわけではありません。サポート対象のバージョンへ移行するか、メンテナンスされているディストリビューションまたは長期サポート（LTS）ベンダーを通じて修正プログラムを入手してください。
OT およびIoT 環境において、これがなぜ重要なのか
PHPは通常、Webサイトに関連付けられますが、産業用や運用環境でも利用されています。具体的には、デバイスやアプライアンスのWeb管理インターフェース、製造実行システム（MES）のポータル、ヒストリアンレポートインターフェース、ビルおよび施設管理アプリケーション、ネットワーク管理プラットフォーム、リモートメンテナンスポータル、そして運用を支えるレガシーWebアプリケーションなどが挙げられます。これらは、サーバー、組み込みLinuxデバイス、仮想マシン、あるいはベンダー管理型アプライアンス上で動作します。
感染したシステムは、リスクをもたらすために産業用コントローラと直接接続されている必要はありません。侵害された管理サーバーは、攻撃者に認証情報、運用データ、あるいは他のシステムへの侵入経路を提供してしまう可能性があります。以下の点に基づき、リスクの優先順位付けを行うことを推奨します：
- 重要：インターネットに公開されている PHPサービス、特にOT ネットワークへのアクセス権限を持つもの。直ちにパッチを適用し、問題が解決されるまで外部からのアクセスを制限してください。
- 高： 産業用DMZや管理ネットワーク上のPHP アプリケーション。早急にパッチを適用し、ネットワーク通信を見直してください。
- 影響度： ネットワークへのアクセスが制限された内部 PHPサービス。迅速な是正措置を計画する。
- 確認事項： PHPのバージョンが不明な資産 、またはベンダー管理下のソフトウェア。バージョンを確認し、ベンダーの指針を入手してください。
重要な産業システムについては、予期せぬサービス中断を防ぐため、運用チームや機器ベンダーと連携して更新作業を行う必要があります。
以下の方法で、影響を受ける可能性のある資産を特定するNozomi Networks
特定は検出と同じくらい重要です。なぜなら、アクティブなエクスプロイトが1つあるごとに、まだ攻撃を受けていない脆弱なシステムが多数存在する可能性があるからです。Nozomi Networks の脆弱性情報には、CVEに加え、影響を受けるPHPバージョンおよび修正済みのPHPバージョンが含まれています。十分なソフトウェアバージョン情報が利用可能な場合、Vantage は資産に自動的に関連する脆弱性のタグを付与するため、影響を受ける資産を容易に特定し、リスクの優先順位や重要度を評価し、是正措置の進捗を追跡することができます。
注：ソフトウェアのバージョン情報は、いくつかの情報源から取得される場合があります。Nozomi Guardiansは、ネットワークトラフィック（最も一般的なのはHTTPのX-Powered-Byレスポンスヘッダー、例：X-Powered-By: PHP/8.4.2）からPHPのバージョンを自動的に識別します。 しかし、ネットワークの可視性のみに依存することには限界があります。なぜなら、このヘッダーのようなフィールドはオプションであり、しばしば無効化されているほか、プロキシやゲートウェイによって削除または変更される可能性があり、暗号化されたトラフィックでは復号されない限り隠れてしまう可能性があり、また、1台のサーバーで複数のPHPバージョンが実行されている場合があるためです。 また、報告されたバージョンだけでは、ベンダーが修正プログラムをバックポートしたかどうかも判断できません。ネットワーク監視に加えて、Nozomi Arc などのエージェントを使用すれば、PHPのバージョンを含むインストール済みソフトウェアをホストから直接読み取ることができ、エンドポイント管理ツール、脆弱性スキャナー、資産インベントリシステムとの連携により、さらに詳細な情報を得ることができます。いずれの場合も、PHPのバージョン情報が欠落しているからといって、その資産が影響を受けていないとは限らず、インストール済みソフトウェアの詳細はベンダーのアドバイザリと照合して検証する必要があります。
Vantage IQ をご利用のお客様は、/php2shell-scan スラッシュコマンドを実行して、Vantage 環境全体における潜在的な脆弱性の有無を評価することもできます。詳細については、セキュリティアドバイザリ「 Vantage による PHP2Shell 脆弱性の評価」IQ をご覧ください。
悪用行為の検知と追跡
検出手法が異なれば、潜在的な悪用活動について相互に補完的な可視性が得られます。ソフトウェアインベントリ、ネットワーク監視、サーバーログ、エンドポイントのテレメトリを組み合わせることで、より包括的な全体像を把握することができます。状況によっては、異なる種類の証拠が役立つ場合があります。
- 攻撃者がリモートコード実行に成功した場合は、コマンドシェルを起動しているPHPやWebサーバーのプロセス、Webサービスアカウントによって実行されている予期しないコマンド、スクリプトや実行ファイルのダウンロード、認証情報や機密性の高い設定ファイルの読み取りの試み、およびWebサーバーから見慣れない外部先やアクセス制限のあるネットワークへの接続がないかを確認してください。
- メモリ情報の漏洩は検知が困難です。実証済みの攻撃手法の一つでは、プロセスを起動したりOSコマンドを実行したりすることなくPHPプロセスのメモリを公開するため、悪意のあるプロセスの生成に依存する検知方法では見逃されてしまう可能性があります。 ネットワークやWebアプリケーションの監視からは、異常なHTTP POSTリクエストやマルチパートリクエスト、PHPアプリケーションへの異常なリクエストの繰り返し、不正な形式のレスポンス、HTTP 500エラーの急増など、手がかりが得られる可能性があります。また、予期しないアウトバウンド接続や、Webサーバーと内部システム間の新たな通信経路についても調査する価値があります。
こうした挙動には正当な理由がある可能性もあるため、いずれか一つを侵害の証拠として扱うのではなく、それらを総合的に評価してください。検知範囲は、導入されているセンサー、有効化されているコンテンツ、トラフィックの可視性、および関連するPHPの設定によって異なります。H2: 是正措置
PHPの更新が、依然として推奨される対処法です：
- アップデートを適用してください。 PHP 8.5.12、8.4.27、8.3.36、または 8.2.35 にアップグレードするか 、お使いのディストリビューションまたはアプリケーションベンダーから該当するパッケージのアップデートをインストールしてください。
- PHPを読み込むすべてのプロセスを再起動してください。これには 、Apache、PHP-FPM、長時間実行されるワーカー、およびアプリケーションコンテナが含まれます。コンテナ化された環境の場合は、更新されたPHPランタイムを使用して再構築し、再デプロイしてください。
- まだパッチを適用できない場合は、リスクへの露出を軽減してください。 影響を受けるサービスへのアクセスを制限し 、不要なインターネット向けサービスを削除し、管理インターフェースへのアクセスを制限し、Webアプリケーションファイアウォールによる保護を適用し、WebアプリケーションとOT ネットワーク間のセグメンテーションを見直してください。
- PHP における一時的な緩和策を検討してください。 CVE-2026-109618については 、memory_limit=-1 に設定し、リクエストサイズとファイルアップロードの制限を厳格化し、RLIMIT_AS および RLIMIT_DATA の使用を避けてください。 CVE-2026-109619 については、session.upload_progress.enabled=0 に設定し、PHP 8.5 では fatal_error_backtraces=0 に設定して、ワーカーを再起動してください。これらの設定は動作、リソース使用量、可用性に影響を与える可能性があるため、まずテストを行い、詳細や制限事項についてはPHP セキュリティアドバイザリを参照してください。これらの対策では、脆弱性を完全に排除することはできません。
- 検証を行う。 インストール済みのパッケージに修正が含まれていること、アクティブなプロセスでパッチ適用済みのランタイムが実行されていること、コンテナとイメージが再構築されていること、ベンダー管理のデバイスにファームウェアまたはソフトウェアの更新が適用されていること、および以前に特定された資産が再評価されていることを確認する 。ログを確認し、過去に悪用された形跡がないかを確認する。
公開されているエクスプロイトコードが出回っているため、出所が不明な、検証済みの概念実証（PoC）スクリプトや対策スクリプトの実行は避けてください。
PHP2Shellに先手を打つ
この Nozomi Threat Intelligence このサブスクリプションサービスは、お客様が影響を受ける資産を特定し、是正措置の優先順位を決定するのに役立ちます。また、当社の研究者は高度なAI機能を活用して、悪用シナリオを調査するとともに、新たな知見が得られるたびに検出範囲を拡大しています。Anthropic社の「重要インフラ防衛プログラム」の創設パートナーとして、当社はAIを活用したセキュリティ研究を、重要インフラの実用的な保護策へと転換することに尽力しています。
資産情報、脆弱性の調査結果、またはアラートの確認についてサポートが必要なお客様は、通常の連絡手段を通じてNozomi Networks サポートまでお問い合わせください。システムへの不正アクセスが疑われる場合は、インシデント対応手順に従い、セキュリティ対応チームに連絡してください。詳細が判明次第、本投稿を随時更新していきます。
