米CISA、PHPの重大脆弱性2件について即時パッチ適用を勧告、困難ならオフライン化

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、PHPに存在する重大な脆弱性2件について、修正版を直ちに適用するよう強く勧告した。即時更新が困難な場合や、サポート対象外のPHP 8.1以前を使用している場合は、修正または更新が完了するまでPHPベースのシステムをオフラインにするよう求めている。

事案の詳細

CISAは現地時間2026年10月21日、PHPの脆弱性「CVE-2026-109618」および「CVE-2026-109619」について注意喚起を発表した。これらは「php2shell」とも呼ばれる重大な脆弱性で、ウェブからのリクエストを処理するPHP環境に影響する可能性がある。

脆弱性を悪用されると、認証を必要とせず、リモートから任意のコードを実行されるおそれがある。脆弱性の深刻度はいずれもCVSS 9.2と評価されている。CISAは、アドバイザリの公表時点でこれら脆弱性の悪用を観測していないと説明しているが、未修正のシステムは危険にさらされるとしている。

PHP開発チームは、脆弱性を修正した「PHP 8.5.12」「PHP 8.4.27」「PHP 8.3.36」「PHP 8.2.35」を公開した。CISAは、組織内でPHPを使用するシステムを特定・棚卸しした上で、インターネットに接続されたシステムを優先して更新するよう求めている。Linuxディストリビューションや長期サポート製品を利用している場合は、各ベンダーが提供する修正版パッケージの適用が必要となる。

即時更新できない場合、またはPHP 8.1以前のサポート対象外バージョンを継続して使用する場合は、修正または更新が完了するまでPHPベースのシステムをオフラインにするよう勧告されている。ウェブアプリケーションファイアウォール（WAF）は一定の保護を提供する可能性があるものの、更新やパッチ適用の代替にはならない。

影響と背景

PHPは多数のウェブサイトやウェブアプリケーションで利用されているため、影響を受ける環境では、攻撃者によるサーバー上での任意コード実行や、システム内の情報への不正アクセスにつながる可能性がある。特に、インターネットから直接到達できるPHP環境や、サポート対象外のバージョンを使用している環境は、優先的な確認と対応が必要となる。

今回の脆弱性について、CISAが注意喚起を公表した時点で悪用は確認されていない。ただし、脆弱性の詳細が公表され、修正版も提供されているため、未修正のシステムが今後攻撃対象となる可能性がある。修正が間に合わない場合には、サービス停止や外部公開の中断を含むオフライン化を検討する必要がある。

対策・今後の展望

• 対象システムの特定：組織内および委託先でPHPを使用しているサーバー、ウェブサイト、業務システムを洗い出し、バージョンとインターネットへの接続状況を確認する。
• 修正版への更新：対象環境をPHP 8.5.12、8.4.27、8.3.36、8.2.35、または利用中のOS・ベンダーが提供する修正版パッケージへ更新する。更新後はPHP-FPM、Apache、LiteSpeedなどの関連サービスや長時間稼働するプロセスを再起動し、修正版が実際に読み込まれていることを確認する。
• 更新が困難な場合の隔離：直ちに更新できない場合やPHP 8.1以前を使用している場合は、修正または更新が完了するまでシステムをオフラインにする。完全な停止が難しい場合も、少なくともインターネットからの到達を遮断する措置を検討する。
• 暫定対策の位置付け：WAFなどの防御策は補助的な対策にとどまり、修正版への更新やパッチ適用の代替とはしない。

CSRIからの現場アドバイス

【現場で何が起きているか】PHPを含むウェブ実行環境では、更新が後回しになり、サポート対象外のバージョンが稼働しているケースがあります。今回の2件は認証なしのリモートコード実行につながる可能性があるため、公開ウェブサーバーを優先して、PHPのバージョンと修正状況を確認してください。CISA公表時点で悪用は確認されていませんが、未修正の状態を放置すべきではありません。

【平易な解説】今回の問題は、外部から届くリクエストを処理するPHPの仕組みに重大な欠陥があるというものです。修正版へ更新できる場合は直ちに更新し、更新できない場合は、攻撃者から接続されないようシステムをオフラインにする必要があります。

【今週中にできること】まず、社内・委託先を含めてPHPを使用するシステムを一覧化し、バージョン、公開状況、管理担当者を確認してください。次に、PHP 8.5.12、8.4.27、8.3.36、8.2.35、またはベンダー提供の修正版へ更新し、関連サービスを再起動します。更新できないシステムは、外部公開の停止、ネットワークからの切り離し、またはオフライン化を実施し、対応完了まで例外扱いで管理してください。

参照: 米当局、「PHP脆弱性」の即修正を勧告 – 困難ならオフラインに