最優先で対応すべき一連のPHP脆弱性について (別名: PHP2Shell)

PHP2Shellの悪用：PHPの2つの重大な脆弱性を解説



ご存じのとおり、今週 10月21日（水）夜、政府のコメントやメディア報道を通じて、PHPの重大な脆弱性に関する情報が広まりました。



 



当社Recorded Future（レコーデッド・フューチャー）は、即座に Attack Surface Intelligence 向けのシグネチャ作成を実施して一連の脆弱性の検出に対応済みですが、状況をまとめて解説記事を公開しました。



 



解説記事の要点



■ PHPに関する二つのRCE脆弱性(CVE-2026-109618, CVE-2026-109619)はPHP2Shellと呼ばれ、いずれもCVSS 4.0でのスコア9.2という非常に高いスコアで日本時間2026年10月21日（水）夜に修正版を公開



■ 組織は対象資産の棚卸しを実施、サポート対象ブランチに対する緊急パッチの即時適用を最優先するべき



■ サポート終了ブランチに対するパッチはリリースされないため、サポート対象ブランチへの移行（またはベンダー提供の修正の適用）が必要



■ 脆弱性の修正版公開前から悪用の試みについて報告あり



■ Recorded Future Attack Surface Intelligenceでは、同日、脆弱性の修正版公開より前に対応シグネチャをリリース済み



 



詳細は以下のブログをご覧ください。



https://www.recordedfuture.com/jp/blog/php2shell-vulnerability-exploitation



 



なお、当社の脅威調査部門であるInsikt Groupは、公開された概念実証(PoC)エクスプロイト、観察されたエクスプロイト活動、推奨される緩和策を網羅したPHP2ShellのTTPインスタンスを公開しています。2026年10月21日午後7時（UTC）現在：​​ 



■ パッチステータス: PHP は 2026 年 10 月 21 日に修正版をリリースしました: PHP 8.2.35、8.3.36、8.4.27、および8.5.12。



■ 悪用状況: PHP2Shellを標的とした新たな悪用試みの報告はありますが、利用可能なレポートは成功した悪用の全容や確認された情報漏洩/侵害の全容を明らかにしていません(1, 2)。​​ 



■ PoCの状況: 公開されているリポジトリはPHP2Shellの概念実証(PoC)エクスプロイトを提供すると主張していますが、その効果や確認された脆弱性との関係は異なります。例えば、セキュリティ研究者のJ4ck3LSyNは、2つの概念実証（PoC）を公開したが、その後、提案された攻撃手順の根拠となっているキャッシュポインタUAF理論を否定した。​​ 



 



レコーデッド・フューチャーについて



Recorded Futureは、リアルタイムかつ実用的な脅威インテリジェンスを提供し、組織がサイバーリスクを低減し、脅威に優先順位を付け、先手を打って対処できるよう支援する世界有数の脅威インテリジェンス企業です。80カ国で1,900以上の企業、政府機関、重要インフラ事業者をはじめとする幅広い組織に対し、脅威環境の可視化と、より迅速で高度な意思決定を支えるインサイトを提供しています。専門的な脅威データのノードを2,000億以上統合したIntelligence Graph®を通じて、攻撃者、インフラストラクチャ、標的を網羅しています。2024年にMastercardグループに参画したRecorded Futureは、組織がインテリジェンスを大規模に活用し、測定可能なセキュリティ成果につなげられるよう支援しています。詳細は recordedfuture.com/jp/ をご覧ください。



 



Insikt Group®について​​ 



Recorded Futureの脅威調査部門であるInsikt Groupは、政府機関、法執行機関、軍、情報機関での豊富な経験を持つアナリストとセキュリティ研究者で構成されています。その使命は、顧客のリスクを軽減し、具体的な成果を可能にし、事業の中断を防ぐような情報を提供することである。​​