PHP2Shell脆弱性によりログインなしでWebサーバー乗っ取りが可能に　米CISA・NSA・FBIが即時パッチ適用、困難ならサーバー停止を警告

ワシントン

ウェブサイトやウェブアプリケーションサーバーで広く使われているプログラミング言語PHPにおいて、ログインなしでサーバー内部でコマンドを実行できる深刻な脆弱性2件が発見され、米サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、連邦捜査局（FBI）が相次いで即時パッチの適用を促した。3機関は10月21日から23日にかけて（米国時間）、脆弱性識別番号CVE-2026-109618およびCVE-2026-109619について、それぞれ注意喚起（Alert）、報道資料、公共広告通知（PSA）を通じて公表した。即時更新が困難な組織に対しては、該当システムをオフラインにするよう求める勧告も共通していた。

CISA、「php2shell」脆弱性により認証不要のリモートコード実行が可能と表明

CISAは10月21日の注意喚起において、2件の脆弱性が「php2shell」と呼ばれ、PHPにおける認証不要のリモートコード実行を可能にすると発表した。影響を受けるのは、ウェブ要求を処理するすべてのPHP導入環境である。CISAは、Apacheとmod_phpの組み合わせ、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedを例に挙げた。このうちmod_phpの組み合わせについて、PHP側は最高リスクに分類したとCISAは付け加えた。

パッチ適用版はPHP 8.5.12、8.4.27、8.3.36、8.2.35である。CISAは、各組織がこれらのバージョンへ直ちに更新すべきだと表明した。ただしCISAは、注意喚起の公開時点で、この脆弱性を悪用した実際の攻撃成功例は観測されていないとした。CISAのサイバー部門アカウントは同日、Xに2件の脆弱性番号を明記し、組織が直ちにパッチを適用すべきだと周知した。

CISAはこの注意喚起を10月23日に更新した。不審な活動を検出するためのシグマ（SIGMA）ルールを追加し、提携機関の資料を反映させた。提携機関の資料には、英国国家サイバーセキュリティセンター、豪州信号局傘下の豪州サイバーセキュリティセンター、ニュージーランド国家サイバーセキュリティセンター、カナダ・サイバーセキュリティセンター、オランダ国家サイバーセキュリティセンターのガイダンスが含まれている。

同日、NSAも別途報道資料を通じて警告を発した。

NSA、サイバー攻撃者が脆弱性を兵器化する可能性が高いと警告

NSAは10月21日付の報道資料で、PHP開発陣が同日（水曜日）にオープンソースのパッチを公開したと発表した。NSAは、PHP（「PHP: Hypertext Preprocessor」の略称）が主要なオペレーティングシステムの大部分で動作し、ウェブサーバー上で直接実行され、HTMLに組み込まれて動的なウェブページを作成するために使用されていると説明した。NSAは、それほど広く使用されていることから、この欠陥が悪用に格好の環境をもたらす可能性があると指摘した。NSAはこの一連の脆弱性に「PHP2Shell」という別名を付け、これを悪用しようとする悪意あるサイバー攻撃者の特定を最優先事項に据えていると表明した。

NSAは、攻撃者が事前のアクセス権限や認証なしに、影響を受けるウェブサーバーの制御権を掌握できると述べた。NSAは、この経路を通じて機密データを窃取したり、サービスを妨害したり、ネットワーク深部へ横方向移動（ラテラルムーブメント）したりすることが可能であると付け加えた。NSAは、この脆弱性がホスティングされたアプリケーションや設定ではなくPHP自体の欠陥であり、影響を受けるバージョンのPHPを稼働させているサーバーは攻撃にさらされると明らかにした。

米国の国家安全保障を担うNSAは、「サイバー攻撃者がPHP2Shell脆弱性を兵器化する可能性が高い」と述べた。リスクが深刻であるため、米連邦政府の省庁および機関全体で即時パッチの適用が必要であるとも強調した。NSAは、今後数週間にわたりPHPに依存するインターネット公開機器およびサービスへの警戒を維持し、ログ収集を強化し、パッチと互換性のないサポート終了（EOL）を迎えたPHPサービスを刷新するよう勧告した。NSAのサイバーセキュリティアカウントも同日、Xにこの警告を投稿した。

NSAはこの投稿の中で、これらの脆弱性がサーバーのファイルシステムやデータベースへの直接の侵入経路を提供することが多いと明らかにした。即座の更新が困難な場合はシステムをオフラインにするよう勧告し、近く具体的なガイダンスを公表すると予告した。

NSAは、他のソフトウェアベンダーもパッチが整い次第提供する可能性があるとして、更新状況を注意深く監視するよう促し、最新の緩和ガイダンスはPHP開発側のセキュリティ勧告ページで確認できると説明した。NSAは、インテリジェンスコミュニティやCISAなどの専門家と連携し、政府および国家安全保障システムにおける脆弱性の特定と解決にあたる方針を示した。

CISA、PHPを使用するシステムの全容把握を要求

CISAはまず、組織内でPHPが稼働しているすべてのシステムを洗い出すよう求めた。PHPは他のソフトウェアに組み込まれていることが多く、外見からは判別しにくい場合があるとCISAは指摘した。CISAは続けて、インターネットに公開されているシステムから直ちにパッチを適用するよう促した。直ちに更新できない組織や、サポートが終了したPHP 8.1以前を使い続けている組織は、パッチ適用または更新が完了するまでPHPベースのシステムをオフラインにしなければならない。

CISAは、PHP開発側の公式セキュリティ通知を確認し、パッチ適用手順を確認するよう求めた。ウェブアプリケーションファイアウォール（WAF）は、システムが更新されるまで一定の防御を提供できるとCISAは述べた。CISAは、PHPのワーカープロセスがシェルを実行したりツールをダウンロードしたりする不審な活動を監視するよう勧告した。

FBIは10月23日、公共広告通知「I-102326-PSA」を発令した。これは10月21日付のFBIによるソーシャルメディア投稿に続く追加通知である。FBIは、PHPがウェブサイトやウェブアプリケーションを駆動する広く普及したプログラミング言語であり、2件の脆弱性によって悪意あるサイバー攻撃者がPHPコア内でリモートからコードを実行し、機密データやネットワークを危険にさらす恐れがあると指摘した。FBIサイバー部門は10月21日、Xにこの情報を投稿した。

FBIは、セキュリティ更新プログラムはすでに提供されており、直ちに適用すべきだと述べた。PHPが導入されている場所を把握する際は、インターネットに公開されたシステムやPHPをバンドルしたベンダー製品を優先し、ウェブサーバー上でPHPプロセスが予期せずコマンドシェルを起動したりファイルをダウンロードしたりしていないか監視するようFBIは求めた。FBIは、最新情報はPHP開発側の通知、欧州連合のCERT-EUセキュリティ勧告2026-018、およびCISAの悪用確認済み脆弱性（KEV）カタログで確認できるとした。FBIは企業やウェブサイト運営者に対し、自社システムが影響を受けているか確認するよう求めた。侵害の兆候を発見した場合は、影響を受けたシステムを隔離し、ウェブサーバーおよびPHPのログを保全したうえで、最寄りのFBI支局またはic3.govに通報するよう呼びかけた。FBIは、この通報が捜査機関による背後組織の特定や、他の組織への被害拡大を防ぐための事前警告に役立てられると説明した。

出典（KST）

• 米CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日掲載、10月23日更新）：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• 米国家安全保障局（NSA）「NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities」（2026年10月21日）：https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• 米連邦捜査局（FBI）「Critical Vulnerability Alert: PHP Core」（公共広告通知 I-102326-PSA、2026年10月23日）：https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• CISAサイバー部門アカウント X投稿：https://x.com/CISACyber/status/2112947079458717969
• NSAサイバーセキュリティアカウント X投稿：https://x.com/NSACyber/status/2112903220209098897
• FBIサイバー部門 X投稿：https://x.com/FBICyberDiv/status/2112921648252719420