CISA、PHP2Shellの重大な脆弱性の積極的な悪用を確認

米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は月曜日、攻撃者が「PHP2Shell」と総称されるPHPの2つの重大な脆弱性を積極的に悪用していることを確認しました。これらの欠陥は、認証なしでのリモートコード実行を可能にするものであり、同機関の「既知の悪用済み脆弱性（KEV）」カタログに追加されました。これは、グローバルなWebインフラ全体において緊急の対策が必要であることを示唆しています。

何が起きたか

CVE-2026-109618およびCVE-2026-109619として特定された2つの脆弱性は、どちらも共通脆弱性評価システム（CVSS）で深刻度9.2と評価されています。CVE-2026-109618はメモリ不足による破損の問題であり、CVE-2026-109619は内部のリクエスト状態処理における古いデータ残存の問題です。両方とも、事前の認証なしに攻撃者が影響を受けるサーバー上で任意のコードを実行することを可能にします。

積極的な悪用の確認は、Perplexity社の検出・対応リードであるAdel Karimi氏によって収集された証拠に基づいています。2026年10月24日、Karimi氏はハニーポットシステムに対するリモートコード実行の成功事例を観察しました。これらの攻撃は単なるクラッシュを引き起こすだけでなく、利用可能なメモリ情報の漏洩をもたらしました。Karimi氏は、エクスプロイトチェーンが800 KiBのデコードされたCookieダンプを提供し、そのダンプから導き出された関数アドレスが subsequent な実行ペイロードに含まれていたことを指摘しました。この証拠は、single-worker mod_php プロファイルにおける攻撃チェーンを具体的に実証しましたが、信頼性は構成によって異なる可能性があります。

これらの脅威に対応するため、PHP開発チームは2026年10月21日にパッチ適用済みのバージョンをリリースしました。連邦政府機関には、2026年10月29日までにこれらの修正を適用するよう期限が設定されています。しかし、露出範囲は依然として広大です。PHPはすべてのウェブサイトの約70%を支えており、Censysの推定によれば、3,251万を超えるPHPサービスが依然として脆弱なバージョンで稼働しています。

仕組み

これらの脆弱性は、PHPがメモリとリクエスト状態を管理する方法における根深い問題を利用しています。CVE-2026-109618は、ソフトウェアがメモリ割り当てエラーを正しく処理できず、攻撃者が隣接するメモリ位置を上書きすることを可能にする「メモリ不足による破損」を利用します。CVE-2026-109619は、以前のリクエストからの残留データが不適切に処理され、注入または実行のための窓が開く「内部のリクエスト状態データの残存」を利用します。

悪用のプロセスには、これらのメモリ管理失敗を引き起こすように細工されたリクエストの送信が含まれます。一度メモリ破損や状態の混乱が発生すると、攻撃者はサーバーの実行フローに悪意のあるコードを注入できます。観察されたケースでは、これがCookieなどの機密データのダンプや関数アドレスの導出につながり、これらはエクスプロイトの安定化と永続的なアクセス維持のために使用されます。この手法は標準的な認証メカニズムを完全にバイパスし、攻撃者に侵害されたサーバーへの完全な制御権を与えます。

主要な詳細

• 脆弱性ID: CVE-2026-109618（メモリ不足による破損）およびCVE-2026-109619（内部のリクエスト状態データの残存）。
• 深刻度: 両方の脆弱性はCVSSスケールで9.2と評価されており、リスクはクリティカルです。
• パッチ適用済みバージョン: 修正は2026年10月21日にリリースされたPHP 8.5.12、8.4.27、8.3.36、および8.2.35で利用可能です。
• 積極的な悪用: Perplexity社の研究者Adel Karimi氏により、2026年10月24日のハニーポット分析を通じて確認されました。
• 露出状況: 3,251万を超えるPHPサービスが影響を受けるバージョンで稼働していると推定されています。
• 追加のリスク: Windowsビルドも、最近のアップデートでパッチが適用されたBrotliデコーダーの脆弱性であるCVE-2026-111497の影響を受けます。

なぜ重要なのか

ソフトウェアエンジニアやITリーダーにとって、PHPの広範な使用は、インターネットのバックエンドインフラの相当部分が現在リスクにさらされていることを意味します。これらの欠陥がCISA KEVカタログに追加されたことは、連邦政府機関や大企業がパッチ適用を優先する強い指標ですが、露出サービスの数が膨大であることは、多くの中小組織やレガシーシステムが依然として脆弱であることを示唆しています。認証なしでコードを実行できる能力は、これらの欠陥を特に危険なものにしています。なぜなら、攻撃を開始するために盗まれた資格情報やソーシャルエンジニアリングが必要ないからです。

メモリ破損と状態管理を含むこのエクスプロイトの技術的な性質は、サーバーサイドスクリプト言語のセキュリティ確保の複雑さを浮き彫りにします。また、ランタイム環境を最新の状態に保つことの重要性も強調しています。WordPress、Drupal、Cisco、IBMなどのベンダーが勧告を発行しているため、影響はPHPインストールだけでなく、PHPを組み込んでいたり依存したりするあらゆる製品やサービスに波及します。パッチ適用の失敗は、サーバーの完全な侵害、データ窃盗、そして企業ネットワーク内での横方向移動につながる可能性があります。

あなたができること

• 直ちにPHPをアップグレードしてください: 古いバージョンを使用している場合は、PHP 8.5.12、8.4.27、8.3.36、または8.2.35に移行してください。
• Windowsビルドを確認してください: WindowsでPHPを使用している場合、Brotliデコーダーの脆弱性CVE-2026-111497に対処するために、更新されたビルド（例：8.5.12-1）がインストールされていることを確認してください。
• 依存関係を監査してください: WordPressやDrupalなどのサードパーティアプリケーションやCMSプラットフォームが、パッチ適用済みのPHPバージョンと互換性があるかを確認し、必要に応じて更新してください。
• ログを監視してください: 異常なメモリ使用量、予期しないプロセス生成、または継続的な悪用試行を示唆する大規模なデータエクスポートの兆候を探してください。
• 不要な機能を無効化してください: 可能であれば、cURL拡張機能での自動HTTP応答解凍を無効にしてください。これにより、Windows上のBrotli脆弱性に関連するリスクを軽減できます。
• ベンダーのパッチを適用してください: F5、Citrix、Siemensなど、グローバルな対応リストに記載されているハードウェアおよびソフトウェアベンダーからのセキュリティ勧告を確認し、推奨される修正を適用してください。