PHPの重大な脆弱性「PHP2Shell」への対策を支援する動きが広がっている。10月23日にはトレンドマイクロとTuxCareが支援策を発表したほか、HiroshimAIも中小企業向けの無償支援を開始した。

PHP2Shellは、PHPに存在する2件の脆弱性「CVE-2026-109618」「CVE-2026-109619」の通称だ。いずれもCVSS v4.0の深刻度は9.2（Critical）で、悪用されると認証なしでリモートコード実行につながるおそれがある。

PHPの開発元は10月21日、修正版となるPHP 8.2.35、8.3.36、8.4.27、8.5.12を公開した。しかし、修正版の公開前に脆弱性情報が流出し、攻撃の試行も確認されている。

こうした状況を受け、各社はリスクの確認から暫定的な防御、修正パッチの適用まで、それぞれ異なる支援策を打ち出している。

トレンドマイクロ、URLからリスクを確認できる無料ツールを公開

トレンドマイクロは10月23日、PHP2Shellの影響を受ける可能性を確認できる無料のリスク評価ツール「PHP2Shell Exposure Checker」を公開した。

同ツールは、確認したいWebサイトのURLを入力することで、HTTPヘッダーなど外部から取得できる情報を基に、PHP2Shellの影響を受ける可能性を評価する。通常のHTTPリクエストを利用し、攻撃コードの送信や脆弱性を悪用できるかどうかの検証は行わない。専用サイトでは、影響を受ける可能性があるPHPのバージョンや、修正版の情報も確認できる。

ただし、診断結果は外部から確認できる情報に基づく目安であり、脆弱性の有無や安全性を保証するものではない。Linuxディストリビューションなどでは、PHPのバージョン表記を変えずに修正パッチが提供される場合もあるため、最終的な判断には運用担当者やベンダーへの確認が必要となる。

同社は、中小企業向けの暫定防御サービス「TrendLife PHP vulnerability web shielding」の提供も開始した。Webサイトへの通信をクラウド上のリバースプロキシで中継し、攻撃と判断した通信を遮断する仕組みで、7日間無料で利用できる。

  • 「TrendLife PHP vulnerability web shielding」によるPHP2Shell攻撃の防御イメージ（出典：トレンドマイクロ）

    「TrendLife PHP vulnerability web shielding」によるPHP2Shell攻撃の防御イメージ（出典：トレンドマイクロ）

なお、同サービスはPHPの修正版を適用するまでの暫定的な防御策であり、同社は速やかな修正版の適用を呼びかけている。

TuxCare、国内の非営利団体に6カ月間のセキュリティ保護を無償提供

TuxCareは10月23日、日本国内で登記された非営利団体を対象に、LinuxとPHPのセキュリティ保護を6カ月間無償提供すると発表した。

対象となる団体には、同社の「Endless Lifecycle Support（ELS）」を最大2ライセンス提供する。内訳は、サポートが終了したLinux OS向けの1ライセンスと、PHPサーバ環境向けの1ライセンスだ。

ELS for PHPでは、対応するサポート終了済みPHP環境に対してセキュリティメンテナンスを提供する。PHP2Shellについても、対象環境向けの修正パッチが含まれる。

PHP 8.1以前のサポート終了済みバージョンには、PHP開発元から今回の脆弱性に対応する公式の修正版が提供されない。そのため、PHPの新しいバージョンへ移行するか、サードパーティーによる延長セキュリティサポートなどを利用する必要がある。

同社は、PHP 5.2までさかのぼる古いバージョンを含め、サポート対象のalt-PHP向けに修正パッチを提供している。ただし、パッチの提供状況や適用方法は、PHPのバージョンやOS、システム構成などによって異なる。

無償提供の対象は、日本国内で登記された非営利団体が国内で設置・運用するシステムに限られる。6カ月間の無償期間が終了しても有料契約への自動移行はなく、購入義務も生じない。

また、無償提供期間の終了後も、それまでに適用したセキュリティパッチは継続して利用できる。

HiroshimAI、中小企業向けに修正版の適用まで無償支援

HiroshimAIは10月22日、全国の中小企業を対象とする「PHP緊急脆弱性 初期対応支援」を無償で開始した。

支援の対象は、中小企業が運営するホームページやWebシステム。PHP環境の確認、脆弱性への対応要否の判定、修正版の適用、作業結果の報告までを支援内容としている。

申込期限は10月31日で、延長される可能性もあるという。申し込みは同社の問い合わせフォームやLINEなどで受け付ける。支援は初期対応に限られ、申し込みが多数の場合は受付順で対応するため、作業開始まで時間がかかる可能性がある。

トレンドマイクロがリスクの可視化や暫定的な防御を提供し、TuxCareが古い環境のセキュリティ保護を支援するのに対し、HiroshimAIは修正版の適用作業までを支援する点が特徴だ。

無償支援は対象や期間に違い、PHP本体の更新が基本

今回発表された無償支援策は、利用できる対象や期間、支援内容がそれぞれ異なる。利用にあたっては、自社のPHP環境が支援対象に含まれるか、無料期間や対応範囲を確認する必要がある。

また、PHP2ShellはPHP本体の脆弱性であるため、WordPressなどのアプリケーションやプラグインだけを更新しても対策は完了しない。基本となるのはPHPの修正版の適用や、サポート終了済み環境に対する適切なセキュリティ対策だ。各社の無償支援も活用しながら、必要な対応を速やかに進めることが求められる。