PHPは10月21日、PHP2Shellと呼ばれる2件の重大な脆弱性に対するセキュリティパッチを公開した。これらの脆弱性を悪用すると、不正にサーバーを乗っ取ることが可能で、政府や組織がウェブサイトをオフラインにする事態を招いている。脆弱性の影響を受けるのはPHP 8.5.12、8.4.27、8.3.36、8.2.35で、サーバーサイド言語が判明しているウェブサイトの約70％で利用されている。CloudflareのCEOであるMatthew Princeは、脆弱性の公表後に数百万回の悪用試行があったと報告した。一方、ドイツのBSIと日本政府は、侵害の成功を確認していないと述べた。PHP Foundationは、2024年に脆弱性の兆候を初めて特定していたものの、意思決定の難しさと限られたリソースが原因で修正が遅れたと明らかにした。
PHP、8.5.12、8.4.27、8.3.36、8.2.35向けのパッチを公開
リリースノートによると、PHPは水曜日にバージョン8.5.12、8.4.27、8.3.36、8.2.35を公開した。同団体は「完全な緩和策はありません。アップデートすることが唯一の安全な選択肢です」と述べた。木曜日時点で、PHPは追加のパッチを公開していない。PHP 8.1以前のバージョンは公式リリースの提供が終了しているが、PHPのセキュリティチームは、自らソフトウェアをコンパイルするユーザー向けに、バージョン7.4、8.0、8.1のパッチを公開した。パッチを有効にするには、ホスティング企業、IT部門、ウェブサイト所有者が手動でインストールし、その後ソフトウェアを再起動する必要がある。
Cloudflare、数百万回の悪用試行を記録
CloudflareのCEOであるMatthew Princeは、脆弱性が公表される前の10時間に、同社のネットワークが数千回の悪用試行を検知したと報告した。公表後45分間で試行は数万回に急増し、2時間以内に数十万回、その後は数百万回に達した。Amazonによると、同社の囮サーバーは、脆弱性が公表される4日前の10月17日に悪用試行を記録していた。Amazonの最高情報セキュリティ責任者（CISO）であるCJ Mosesは、「攻撃者が公表前にどのように悪用情報を入手したのかは、依然として不明です」と記し、PHP2Shellは「現在、実際の環境で広く悪用されています」と付け加えた。
ドイツと日本、侵害の確認なしと報告
ドイツ連邦サイバーセキュリティ庁（BSI）の副長官Thomas Caspersは、同庁が攻撃を観測したものの、脆弱性の悪用に成功した事例はなかったと述べ、「悪用は予想より少し複雑なようです」と説明した。日本の内閣官房長官である木原稔も、脆弱性を悪用した攻撃は確認されていないと明らかにした。
PHP Foundation、2024年のセキュリティ体制の不備を特定
PHP Foundationは水曜日にブログ記事を公開し、2024年のセキュリティ対応で「CVE-2026-109618の根本原因となったOOM問題の最初の兆候を発見した」と述べた。これは、脆弱性の一因となったメモリ不足のバグを指している。同団体によると、チームは対処するための「複数の競合する方法」を考案したものの、「どれを選ぶか決めるのに苦労し、誤った選択をしてリリースした場合の影響を恐れていた」という。財団は「これを取り繕うつもりはありません。遅延は、セキュリティチームの意思決定プロセスとリソース不足の両方に起因する、組織構造上の失敗でした」と記した。これまでコンセンサスを必要としていたセキュリティチームは、今後は多数決で決定する。
公表後、組織がウェブサイトをオフラインに
英国の国家サイバーセキュリティセンターは組織に対し、「脆弱性への対策が完了するまでシステムをオフラインにすること」を検討するよう助言した。TechRadarによると、水曜日にオフラインになったウェブサイトには、ウィキメディアのサービス、数十か国で事業を展開するOrangeのウェブサイトとアプリ、英国政府の32のサービス、オランダの病院、ドイツ連邦ITプロバイダーのITZBundが含まれていた。英国の予算責任局とエディンバラ市議会のウェブサイトは、木曜日までに復旧した。DutchNewsによると、オランダの匿名犯罪通報サイトMeld Misdaad Anoniemは、木曜日の朝もオフラインのままだった。
セキュリティ企業、サーバー監査と認証情報の更新を推奨
セキュリティ企業Tag1は管理者に対し、許可されたユーザーがアップロードしていないPHPファイルを調べ、新たに登録されたスケジュール済みタスクやアカウントを確認し、脆弱なバージョンを実行していたインターネットに公開されたサーバーのデータベースパスワードとAPIキーを変更するよう助言した。セキュリティ企業Malloryは、公式の修正プログラムが提供されなくなったPHPバージョンを実行する、インターネットに公開されたホストが約884,000台あると数えた。Amazonは防御側に対し、「脆弱性の公表日が悪用の最も早い日だと思い込むべきではありません」と助言し、少なくとも10月17日以降に脆弱なバージョンを実行していたサーバーを確認するよう推奨した。
よくある質問
10月21日にセキュリティパッチが提供されたPHPのバージョンは？
PHPは水曜日、PHP2Shellの脆弱性に対処するため、バージョン8.5.12、8.4.27、8.3.36、8.2.35を公開した。PHPは、完全な緩和策はなく、アップデートすることが唯一の安全な選択肢だと述べた。
PHP2Shellの公表後、Cloudflareは何回の悪用試行を検知しましたか？
CloudflareのCEOであるMatthew Princeによると、公表前の10時間に数千回、公表後45分間に数万回、2時間以内に数十万回、その後は数百万回の試行があった。
PHPの脆弱性公表後、どの組織がウェブサイトをオフラインにしましたか？
TechRadarによると、水曜日にウェブサイトをオフラインにした組織には、ウィキメディアのサービス、数十か国で事業を展開するOrangeのウェブサイトとアプリ、英国政府の32のサービス、オランダの病院、ドイツ連邦ITプロバイダーのITZBundが含まれていた。
