PHP2Shell:PHPの重大な脆弱性で緊急アップデート、パッチ未適用のサーバーは遮断を

スクリプト言語PHPに2件の重大なセキュリティ上の脆弱性が見つかったとして、PHPチームは10月21日(水)に緊急アップデートを公開した。米サイバーセキュリティ機関CISAは、運用者に対し、直ちにシステムを更新するか、ネットワークから切り離すよう求めた。

「PHP2Shell」と呼ばれる脆弱性CVE-2026-109618とCVE-2026-109619は、CISAによると、認証なしのリモートコード実行を可能にする。つまり攻撃者は、ログインせずにサーバー上で任意のコードを実行できる。これらの脆弱性のCVSSスコアは、最大10の尺度で9.2となっている。

脆弱性が修正されたのは、PHP 8.5.12、8.4.27、8.3.36、8.2.35の各バージョンだ。PHP 8.1以前を使っている場合や、直ちに更新できない場合は、CISAの推奨に従ってシステムをネットワークから切り離すべきだという。英国の国家サイバーセキュリティセンター(NCSC)も、直ちにパッチを適用できないシステムについて同じ推奨を出している。

公表前に攻撃の試み

米企業Amazonのセキュリティ部門Amazon Threat Intelligenceによると、10月17日(土)にはすでに脆弱性を悪用しようとする試みがあった。公表の4日前にあたる。

ネットワーク機器大手のシスコは、自社製品に関するセキュリティ情報で、同社のセキュリティチームは悪意ある悪用を把握していないと発表した。回避策はないという。

ニューヨーク・タイムズ紙によると、運営者の多くは予防措置として多数のウェブサイトをオフラインにした。パッチ未適用のサーバーは完全に乗っ取られる可能性があったという。

ウェブサイトの約69%がPHPを採用

影響の大きさは、この言語の普及度から分かる。分析サービスW3Techsの10月22日付データによると、サーバー側の言語を特定できるウェブサイトの69.3%でPHPが使われている。PHPをベースとするコンテンツ管理システム(CMS)のWordPressだけで、世界のウェブサイトの約40%を占めるという。

PHPはサーバー上で動作し、そこでHTMLなどの出力を生成してブラウザに送る。ソースコード自体はサーバー上にとどまる。主な利用者には、ソフトウェアMediaWikiを使うウィキペディア、Drupal、Joomla、Magentoといったシステム、ECプラットフォームのEtsyなどがある。

この言語は、個人的なツールから生まれた。デンマーク系カナダ人のプログラマー、ラスマス・ラードフ氏は1994年から1995年にかけて、自身のホームページへの訪問数を数え、フォームを処理するためのスクリプトを書いた。1995年6月、そのコードを「Personal Home Page Tools」として公開した。現在PHPは「PHP: Hypertext Preprocessor」の略とされている。

PHPは本格的なプログラミング言語として計画されたものではなかった。ラードフ氏は後に、常に次の実用的な機能を付け加えていっただけだと語った。学びやすく、安価なウェブホスティングで動いたため、PHPは動的なウェブサイトの標準となった。

古いPHPのまま動くサイトも多い

W3Techsによると、PHPを使うサイトの約65%がバージョン8、27%が依然としてPHP 7、8%弱がPHP 5を使っている。PHP 7以前の古い環境は、引き続きセキュリティ上のリスクとなっている。

PHP Foundationによると、現在積極的に保守されているのはPHP 8.5と8.4で、PHP 8.3と8.2はセキュリティ更新のみが提供される。それより古いバージョンには公式のアップデートはない。PHP 8.2のサポートは2026年末、PHP 8.5は2029年末に終了する。次期バージョンのPHP 8.6は11月に公開予定だ。