PHP2Shell脆弱性、BSIが警告 PHPの更新を急げ

PHPの2件の脆弱性「PHP2Shell」が公表された水曜日の午後、世界各地で多数のウェブサイトが予防的にオフラインとなった。ドイツ連邦情報セキュリティ庁(BSI)は上から2番目の「レベル3/オレンジ」の警告を出し、影響を受けるウェブサーバーは状況によって一時的にインターネットから完全に切り離すよう勧めている。

問題の脆弱性はCVE-2026-109618とCVE-2026-109619で、CVSSスコアはいずれも9.2。フィンランドやオランダの政府機関、BBCの一部、ドイツの多数の自治体、病院、大学などがオンラインサービスを一時停止したと伝えられている。

影響範囲は極めて広い

セキュリティ企業Wizによると、PHPは世界のウェブサイトの約70%でサーバー側を支えているという。ただしこの推計は独立には検証できない。欠陥はPHPの実行環境そのものにあるため、WordPress、Drupal、Joomla、Typo3、Magento、Nextcloud、Mediawikiなどは、アプリ側のコードに問題がなくても影響を受ける。

Wizの分析では、約10年前のPHP 5.4まで遡る4件の関連するメモリ安全性の欠陥で、「Use-After-Free」と呼ばれる仕組みだ。攻撃者はログイン不要で遠隔から任意のコードを実行でき、パスワードやAPIキー、セッション情報をメモリから読み取ることも可能という。

発見にはAIモデルが関わった。CalifとOpenAIは2026年8月11日、GPT-5.6 Solを使って実際の攻撃が成立することを初めて示した。8日後にWizも独自に同じ欠陥群を見つけ、GPT-5.6 Solに加え、Google DeepmindのGemini 4 Argonの未公開版を使った。複数のメモリ欠陥をつなぐ作業は従来数カ月を要したが、今は数時間で可能になっている。

管理者が取るべき対応

PHP開発チームは修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。サポートが終了した7.4、8.0、8.1向けにもバックポートが提供されている。Apacheのmod_phpでの運用が最もリスクが高い。CloudflareなどのWAFでは完全には防げず、Dockerコンテナは再ビルドが必要となる。

更新までの暫定策として、session.upload_progress.enabled=0やmemory_limit=-1といった設定変更が示されている。管理者はログでHTTP 500エラーの多発や、異常に大きなPHPSESSIDクッキーがないか確認すべきだ。影響を受ける製品の一覧は、オランダのNCSC-NLが随時更新している。