eSecurity Planetは10月27日(現地時間)、「After Black October: PHP Security Questions Remain」において、PHPの脆弱性「PHP2Shell」について、修正パッチの適用後も侵害調査や設定の確認が必要だと報じた。
PHP2Shellでは、脆弱性の公表前から攻撃の試みが確認され、Webサーバの管理者は緊急対応を迫られた。しかし、パッチを適用しても、それ以前に侵害されていた可能性は排除できない。Amazonは公表前の攻撃試行を報告しており、PHPプロジェクトも別の脆弱性について注意を呼びかけている。企業や組織には、過去のログ調査やシステム設定の確認など、追加の対応が求められる。
PHP2Shell、公表4日前から攻撃試行を確認
Amazon Threat Intelligenceは、10月17日、同社のハニーポット基盤「MadPot」でPHP2Shellの脆弱性を狙った攻撃の試みを確認した。脆弱性が公表されたのは4日後の10月21日で、公表前後にも複数の試行が観測された。ただし、Amazonはこれら攻撃が実際のシステムに対して成功したかどうかは明らかでないとしている。
同社は被害確認を行う場合、対象期間を脆弱性の公表日や修正開始日からではなく、少なくとも10月17日までさかのぼるよう勧告した。修正後の状態だけを確認しても、それ以前に侵入されていた可能性を排除できないためだ。
調査にあたっては、慎重な評価が求められる。Palo Alto NetworksのUnit 42は10月25日、欧州の政府機関に対する攻撃をPHP2Shellに関連付けた従来の見解を撤回した。研究者は脆弱なPHPアプリケーションの侵害事例を確認したものの、PHP2Shellが侵入の起点だったかは確認できなかったとしている。
PHPに別の脆弱性、セッション設定の確認も必要
PHPの脆弱性「CVE-2026-109618」および「CVE-2026-109619」への修正は、10月21日にPHP 8.5.12、8.4.27、8.3.36、8.2.35として公開された。ただし、修正がバックポートされている場合もあるため、管理者はバージョン番号だけでなく、提供元のパッケージ情報を確認する必要がある。
PHPプロジェクトは10月23日、セッションのアップロード進捗機能に関する別の問題、「CVE-2026-115560」についての注意情報を公開した。特定のセッション設定とアプリケーションの動作が重なった場合に発生するもので、通常のリリースサイクルで修正する方針を示している。
この脆弱性は、セッションのシリアライズ方式を特定の手順で変更し、アップロード進捗機能を有効にしている場合に発生する。PHPプロジェクトは修正版の公開まで、影響を受ける環境で「session.upload_progress.enabled」を「0」に設定し、同機能を無効にするよう推奨している。ただし、アプリケーションが同機能を利用していないか確認する必要がある。
設定変更はphp.iniやPHP-FPMのプール設定など、リクエストの処理前に反映される場所で実施する必要がある。また、Red Hatは影響を受けるワーカーの再起動を求めており、コンテナ環境ではコンテナやポッドの置き換えが必要となる。いずれの場合も、PHP2Shellへの修正は別途実施しなければならない。
WordPressなどの更新だけでは不十分、PHP本体の修正が必要
Wizの研究者は、WordPress、Drupal、Joomlaの環境で、認証を必要としないリモートコード実行が可能となる事例を示した。原因はその基盤として動作するPHPにある。プラグインやCMS本体を更新しただけでは、PHPの脆弱性を修正したことにはならない。
Arcovaのサイバーセキュリティ研究者であるJoseph Perry氏は、電子商取引サイトやAPIを利用するWebアプリケーションにとって、今回の問題は更新と監視が重要な局面にあることを示すと指摘した。同氏は、Webサイトの複雑さを抑え、すべての構成要素を更新し、基本的な対策を維持する必要があると述べた。
米国家安全保障局(NSA: National Security Agency)は、ログの監視強化に加え、サポート終了(EOL: End of Life)に達したPHPサービスの置き換えを推奨している。置き換えできない場合は、十分な対策を講じるまでの間、速やかにシステムを停止するよう求めた。
パッチ適用で終わらない、侵害調査と認証情報の見直し
AIの普及によって攻撃手法の開発コストが低下し、従来は悪用が難しいと考えられていた脆弱性も攻撃対象となる可能性がある。こうした変化を踏まえ、セキュリティ担当者には、修正パッチが実際の稼働環境に適用されているかの確認に加え、侵害の可能性がある期間のログや通信記録を調査することが求められる。
侵害が確認された場合は、パッチの適用だけでなく、被害範囲の特定、不正アクセス経路の遮断、認証情報やトークンのリセット、関係者への通知などの対応が必要となる。状況によっては行政機関への届け出も必要となり、経済産業省は中小企業向けにガイドラインを公開している。
Linuxカーネルに重大な脆弱性、遠隔攻撃の恐れ - Ubuntuは修正作業中
