PHPに認証不要のコード実行脆弱性「php2shell」、修正版公開も国内サービスに影響

PHPに認証なしで遠隔コード実行が可能な脆弱性2件。修正版は公開されたが、国内でも緊急対応が相次いだ。

今何が起きているか

PHPに、認証を必要とせず遠隔からコードを実行できる重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）が確認された。通称「php2shell」と呼ばれ、修正版は日本時間10月21日深夜に公開された。CloudflareやAkamaiなどのセキュリティ企業が防御策を提示し、国内でもさくらインターネットやBASEなどが緊急メンテナンスや機能制限を実施した。

なぜ起きているか

PHPの特定の入力処理経路で、外部から送り込んだデータが適切に検証されないままコードとして解釈される欠陥が2件存在した。これにより認証を経ずにサーバー上で任意のコードを実行できる状態となった。脆弱性はセキュリティ企業CalifとWizがAIを用いて発見し、OpenAIの枠組みを利用して修正作業が進められた。修正版の公開が深夜にずれ込んだため、公開までの時間帯に各社が暫定防御を迫られた。

影響範囲

PHPで構築されたWebサイトやWebアプリケーションを運営する企業・組織、およびそれらを利用する一般利用者。国内ではさくらインターネットやBASEなどが緊急対応を行い、欧州の政府機関でもサイト停止や機能制限が報告されている。影響は特定の業種に限らず、PHPを採用するサービス全般に及ぶ。

今後どうなりそうか

修正版の適用が進むにつれて直接的なリスクは低下するが、適用が遅れたシステムでは攻撃の試行が続く可能性がある。今後は各社のパッチ適用状況と、AIを活用した脆弱性発見手法の広がりが焦点となる。PHP自体のリリース体制や事前防御のあり方についても議論が続きそうだ。

今意識したほうがいいこと

PHPを利用するシステム管理者は、修正版の適用状況を確認し、未適用の場合は速やかに更新する。暫定策としてWAFやアクセス制限を導入している場合は、パッチ適用後に設定を見直す。一般利用者は、利用中のサービスから通知があれば内容を確認し、不審な挙動がないか注意する。

社会への影響

基盤ソフトウェアの脆弱性が顕在化すると、修正版の公開と同時に多数の事業者が一斉対応を迫られ、運用負荷が集中する。今回、AIを用いた発見と修正の枠組みが実際に機能したことは、今後の脆弱性対応の速度と体制に影響を与える可能性がある。一方で、パッチ公開までの空白時間にどう備えるかという課題も残した。