PHPの重大脆弱性「php2shell」、パッチ公開まで待てない GMOが示した暫定策と注意点：緊急修正パッチが出るほど危険

PHPに深刻度9.2の重大脆弱性「php2shell」が見つかった。外部から任意のコードを実行される恐れがあり、PHP開発チームは2026年10月21日23時に修正パッチを公開する予定だ。パッチを待つ間、企業は何をすべきか。GMO Flatt Securityは独自分析を基に暫定策と緊急対応の指針を示した。

[＠IT]

　GMO Flatt Securityは2026年10月21日、PHPの重大な脆弱（ぜいじゃく）性「php2shell」に関する分析と対応指針を公表した。対象として挙げられているのは「CVE-2026-109618」と「CVE-2026-109619」の2件で、共通脆弱性評価システム（CVSS）v4.0のスコアはいずれも9.2だ。

　PHP開発チームは2026年10月20日（日本時間）深夜、緊急の修正パッチを同月21日23時に公開する予定だと告知した。公開が前倒しされる可能性もある。修正パッチの公開を待つ間、PHPを利用する企業には、影響を受けるシステムの洗い出しや暫定策の検討、更新作業の準備が求められる。

　php2shellという名称は、脆弱性の発見に関与したとみられる研究者の投稿で使われたものだ。研究者の「X」（旧Twitter）の投稿によると、外部から任意のコードを実行されるリモートコード実行（RCE）の脆弱性とみられ、Apacheの「mod_php」や「php-fpm」「WordPress」「Laravel」「Symfony」など複数の構成で攻撃が再現したという。

「パッチが公開されるまで待てない」 企業に向けた暫定策と緊急更新時の備え

　ただし、上記の攻撃の再現は研究者の投稿に基づく情報であり、影響する構成の全容が確定したわけではない。GMO Flatt Securityも、列挙された構成以外に影響が及ぶ可能性を指摘する一方、公開情報には未解明の点が多く、不正確な情報が含まれる可能性があるとしている。

　研究者が公開した動画には、「Ubuntu 26.04」の「PHP 8.5.4」と「Apache prefork／mod_php」の構成で攻撃を試みる様子が登場する。動画内にはメモリアドレスと見られる情報が表示され、最終的に「www-data」の権限でコマンドが実行された記録もある。

　GMO Flatt Securityは、こうした情報を根拠にCVE-2026-109618とCVE-2026-109619を、メモリ破壊型の脆弱性である可能性を指摘した。動画に表示されたメモリアドレスは、メモリ配置のランダム化機構であるASLRが有効な環境で、任意コード実行に必要な関数などのアドレスを特定する手掛かりになり得る。ただし、公開された動画の情報だけで脆弱性の仕組み全体が確定したわけではない。

　GMO Flatt Securityは独自調査の結果、PHPのセッション管理に関係する「Session Upload Progress」機能が今回の脆弱性に関与している可能性があると分析した。

　同機能は、ファイルアップロードの進捗（しんちょく）状況をセッション経由で管理するためのものだ。同社によると、初期設定で有効になっているため、関連性が確認されれば影響範囲が広がる可能性がある。

　ただし同社は独自調査で確認した問題とphp2shellが同一の脆弱性かどうかは、現時点で確定していない。Session Upload Progress機能が有効なシステム全てで、今回の脆弱性が悪用可能だと確認されたわけではない点には注意が必要だ。

修正パッチの公開前に検討できる暫定策

　GMO Flatt Securityは、修正パッチの公開前に検討できる暫定策として、PHPの設定値「session.upload_progress.enabled=0」によるSession Upload Progress機能の無効化を提案した。

　同社は、この設定変更によって今回の脆弱性の悪用リスクを低減できる可能性があるとする一方、効果を保証できるわけではないと説明している。脆弱性との関連が確定していないため、設定変更だけで安全が確保されると判断せず、修正パッチの適用を根本対策として準備する必要がある。

　同社は、まずPHPを利用している自社システムを洗い出し、各サーバのPHPのバージョンや更新手順を確認するよう求めた。更新後には、E2Eテストなどを通じてアプリケーションが正常に動作するかどうかを検証することも重要だ。

　設定変更についても手順を事前に確認し、意図した設定が反映されたことを検証する。緊急更新によってサーバの停止やサービスの一時中断が発生する可能性を考慮し、関係者への連絡方法や作業手順も整えておく必要がある。

侵害後の被害を抑えるために権限とログを点検

　GMO Flatt Securityは、脆弱性の修正だけでなく仮にサーバで任意コードが実行された場合に備えた対策も推奨している。

　具体的には、サーバに保存するデータを必要最小限に抑えることや、クラウド環境のIAMロール、サービスアカウントなどに付与する権限を必要最小限にすることだ。侵害時に窃取され得る情報を減らし、攻撃者が別のシステムへ侵入を広げるリスクを抑える狙いがある。

　また、ログの記録設定と保全方法も点検するよう求めた。必要なログが残っているか、攻撃者による改ざんを受けにくい形で保存されているかを確認する。ログが不足していたり、侵害後に改ざんされたりすると、攻撃の有無や被害範囲の調査が難しくなるためだ。

　根本的な対策は、修正パッチが公開され次第、速やかに適用することだ。GMO Flatt Securityは、国内でPHPが広く利用されていることから、今回の分析と対応指針を公表したとしている。同社はパッチ公開後も記事を更新し、更新内容を公式Xアカウント「@flatt_security」で告知する方針だ。