JPCERT/CCは10月29日、PHPの脆弱性「CVE-2026-109618」「CVE-2026-109619」に関する注意喚起を更新した。今回の更新では、これらの脆弱性を悪用した攻撃によって、ファイアウォール製品が侵害された可能性があることを新たに報告している。

対象の脆弱性は「PHP2Shell」と呼ばれ、悪用されるとPHPの実行プロセスの権限で任意のコードを実行される恐れがある。JPCERT/CCはこれまでにも、実証コードの公開や攻撃通信の観測を受け、利用者に早急な対応を呼びかけていた。

日本を含む4カ国で25台のサーバが侵害、米政府関連組織も標的に

今回の追記でJPCERT/CCが引用しているのは、イスラエルのセキュリティ企業であるDreamが10月26日に公表した調査報告だ。

Dreamによると、攻撃者はインターネットに公開された約1万9000台のファイアウォールを探索し、このうち約240台を攻撃対象として選定していたという。

調査では米国、日本、台湾、韓国に設置された24台のファイアウォールと、米国政府の関連組織の内部にある管理サーバ1台の計25台が侵害されたと報告されている。

攻撃者はPHPの2件の脆弱性に加え、Linuxカーネルの権限昇格の脆弱性「CVE-2026-46300」を組み合わせて悪用。認証を経ずにファイアウォールへ侵入し、管理者権限（root権限）を取得したとされる。

さらに、米国政府の関連組織では、侵害したファイアウォールを足掛かりとして内部ネットワークへの侵入を進め、Active Directoryの認証情報を取得したことも報告されている。

Dreamは、対象製品のベンダー名や詳細なバージョンは公表していない。

PHPを組み込んだ製品にも影響、JPCERT/CCが対策を呼びかけ

JPCERT/CCによると、攻撃者は対象製品を解析し、製品のバージョンごとにPHPとLinuxカーネルの脆弱性を組み合わせたエクスプロイトコードを開発していたという。

一部の製品ベンダーも今回の脆弱性を悪用した攻撃を観測しており、セキュリティアドバイザリを更新している。

JPCERT/CCは今後、PHPを組み込んだ製品を標的とする実証コードの開発や、脆弱性を悪用した攻撃がさらに進む可能性があるとして警戒を呼びかけている。

影響を受けるのは、PHP 8.5.12より前の8.5系、PHP 8.4.27より前の8.4系、PHP 8.3.36より前の8.3系、PHP 8.2.35より前の8.2系。PHP 8.1以前についても、サポート対象バージョンへのアップグレードが推奨されている。

PHPを組み込んだ製品やLinuxディストリビューションが提供するPHPも影響を受ける可能性があるため、利用者は製品ベンダーやOSの提供元が公開する情報を確認する必要がある。

JPCERT/CCは、修正済みバージョンへの更新とともに、脆弱性の影響を受ける製品について侵害の有無を調査するよう推奨している。