PHP2SHELL
PHP2Shellの経過と確認すること
PHP2Shellの経過と確認すること
世界のWebサイトの約7割が使うPHPに見つかった重大な弱点。何が起き、どこを確認すればよいかをまとめました。
PHPの重大な弱点「PHP2Shell」（2026年10月）
PHP本体に、ログインなしでサーバーを乗っ取られる恐れのある弱点が見つかりました（CVE-2026-109618／CVE-2026-109619、危険度は10点満点中9.2）。PHPは世界のWebサイトの約7割で使われています。
攻撃者細工した通信
（ログイン不要）
（ログイン不要）
遮断
CloudflareのWAFルール公表の約9時間前に自動適用（無料プランも）一時的な防御変種によるすり抜けを狙われる。数百万件の攻撃を観測
すり抜け・直接攻撃
サーバー（パターンB）アプリ（予約・WordPressなど）PHP本体 ← 弱点はここ。アプリの修正では直らないLinux
対策
根本対策PHPを更新
8.2.35／8.3.36／8.4.27／8.5.12 以降
8.2.35／8.3.36／8.4.27／8.5.12 以降
パターンA・C（Workers）はPHPを使わないため対象外。移行の3つの構成
CVE＝弱点ごとの世界共通の番号／深刻度9.2＝10点満点中の危険度／WAFルール＝不正な通信を見分ける検査条件／PHP＝Webで広く使われるプログラム言語。
経過2026年10月の経過
- 10月初旬Cloudflareが防御ルールの準備を開始
- 10月17日公表前に、最初の攻撃の試みを記録
- 10月21日詳細の流出を受け、予定を早めて公表・修正版を公開。Cloudflareは約9時間前に防御を適用
- 同じ日公表から45分で数万件 → 2時間で数十万件の攻撃
- 10月22日数百万件に。乗っ取った機器を攻撃に使う不正プログラム（Mirai）の設置を狙う攻撃も
- 10月23日関連する弱点（CVE-2026-115560）が判明。修正版はまだなし
- 10月26日米国のサイバー防御の政府機関（CISA）が「実際に悪用されている」と認定
影響が大きい4つの理由
範囲が広い
Webサイトの約7割がPHP。ホームページの作りではなく、PHP本体の問題です。
古いPHPが長く狙われる
8.1以前は、数年単位で攻撃が続く恐れがあります。
猶予がほぼゼロ
公表から45分で数万件。「数日以内」では遅すぎます。
AIで発見が加速
2日後に、関連する弱点がもう1件見つかりました。
自社サイトで確認すること
- PHPの利用とバージョン各サイトがPHPで動いているか、バージョンはいくつか
- 修正版へ更新8.2.35／8.3.36／8.4.27／8.5.12 以降へ
- 応急処置session.upload_progress.enabled=0 を設定し、再起動
- 記録を確認10月17日以降のログと、不審なファイルの有無
- Cloudflareの設定防御ルールが「ブロック」になっているか
どれも分からない場合は、木立が無料の安全診断でお調べします。
まずは無料の安全診断から
かんたんなアンケートで、今の状態をお調べします。他社が作ったホームページもお任せください。