ユービーセキュア、VexオートスキャナーにPHP2Shell対応の正式シグネチャを追加

株式会社ユービーセキュアは10月27日、Webアプリケーション脆弱性検査ツール「Vex」のオートスキャナーに、PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）に対応する検査シグネチャの正式版を追加したと発表した。

事案の詳細

ユービーセキュアによると、今回追加されたのは「Vex」オートスキャナー向けの検査シグネチャで、PHP2Shellと呼ばれるPHPの重大なリモートコード実行脆弱性2件（CVE-2026-109618、CVE-2026-109619）に対応するものだという。オートスキャナーを利用する顧客は、追加の作業なしで本シグネチャを利用できるとしている。

PHPプロジェクトは10月21日、脆弱性2件を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開した。両脆弱性は認証を必要とせず、外部から任意のコードを実行されるおそれがあり、CVSS v4.0の深刻度はともに9.2と評価されている。

ユービーセキュアは、10月22日にオートスキャナーで暫定版を提供していた。暫定版はPHPのバージョン情報にもとづいて判定する方式だった一方、今回の正式版では検査対象のWebサイトに検査用のリクエストを送り、その応答から脆弱性の有無を確認する方式に変更された。これにより、バージョン情報を表示していないWebサイトについても、より正確な判定が可能になるとしている。

影響と背景

PHP2Shellは、PHPの実行環境自体に存在する2件の脆弱性で、Webリクエストを処理するPHP環境が影響を受ける。認証を必要としないリモートコード実行につながるおそれがあり、公開WebサイトやWebアプリケーションに重大な影響を及ぼす可能性がある。

対象となる環境には、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境が含まれる。PHPプロジェクトは、PHP 8.5.12、8.4.27、8.3.36、8.2.35で脆弱性を修正している。PHPプロジェクトは「完全な回避策はなく、更新が唯一の安全な選択肢」としており、サポートが終わったPHP 8.1以前には同プロジェクトからの修正版は提供されない。

対策・今後の展望

• PHPの更新：PHPプロジェクトが公開したPHP 8.5.12、8.4.27、8.3.36、8.2.35、または各ディストリビューションや提供事業者が配布する修正版へ更新する。
• 判定手法の変更点：正式版では、検査対象サイトへ検査用リクエストを送り、応答から脆弱性の有無を確認することで、バージョン情報を表示していないWebサイトにも対応するとされる。

CSRIからのアドバイス

任意コード実行につながる脆弱性は、外部からのアクセスを受け付けるWebサイトやWebアプリケーションで問題になりやすい。とくに認証を必要としないタイプは、ログインを前提としないため、インターネットから到達可能な環境で注意が必要になる。

まず自社のWebサイトやシステムでPHPを使っているかを確認し、使っている場合は、利用中のPHPブランチに対応した修正版、またはPHPプロジェクトや各ディストリビューション、提供事業者が案内する修正版への更新を担当者に確認する。更新後は必要に応じてPHP-FPMやWebサーバーを再起動する。次に、外部の脆弱性検査ツールや診断サービスを使っている場合は、PHP2Shellに対応した検査が行われているかを確認し、更新の漏れがないかを点検するとよい。

参照: Vex、php2shell に対応する検査シグネチャの正式版を追加／PHP「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released」（2026年10月21日）