0:00 0:00
記事
PHPの重大脆弱性「PHP2Shell」が発覚——ウェブの70%に影響、ベルギーの学校システムも一時停止
プログラミング言語PHPに見つかった2件の重大な脆弱性「PHP2Shell」が、世界のウェブの約70%に影響する騒動となりました。パスワードなしで侵入を許す脆弱性に、各国政府や企業が対応に追われています。TechCrunchが報じています。
数十年の歴史を持つオープンソースのプログラミング言語「PHP」で、長らく見過ごされてきた2件の重大な脆弱性が今週明らかになり、インターネットの広い範囲を揺るがす事態となりました。脆弱性は「PHP2Shell」(CVE-2026-109618、CVE-2026-109619)と名付けられ、パスワードなど認証情報を一切必要とせず、PHPで動くウェブサーバーに外部から侵入してデータを書き換えられてしまうという深刻な内容です。TechCrunchが報じています。
パスワード不要で侵入を許す「認証なしリモートコード実行」
PHP2Shellが特に危険とされる理由は、インターネット越しに遠隔からコードを実行できる「リモートコード実行」と呼ばれる種類のバグであり、しかも被害者がリンクをクリックしたりファイルを開いたりする必要すらない点にあります。加えて、攻撃者はパスワードなど何の認証情報も持たずに未パッチのシステムへ侵入できる「未認証アクセス」が可能なため、第三者が長期間にわたってマルウェアを仕掛けたり、データを盗み出す足がかりを確保したりするおそれがあります。脆弱性自体は2024年に発見されていたものの、当時は悪用が難しいと判断されて放置されていました。最近になってセキュリティ研究者が悪用可能な手法を見つけ出し、PHP開発を支える非営利団体「PHP Foundation」に報告したことで、今回の騒動につながりました。
世界のウェブの70%が利用、WordPressやWikipediaも
PHPが広く使われている背景には、無料で利用でき、習得しやすい言語でありながら数十年にわたって使われ続けてきたという歴史があります。TechCrunchによれば、インターネットの外部公開サーバーのおよそ70%がPHPに依存しているといい、WordPressやDrupal、Joomla、そしてオンライン百科事典「Wikipedia」を支えるMediaWikiなど、世界で広く使われているソフトウェアの多くがPHP上で動いています。実際にベルギーでは、教育プラットフォーム「Smartschool」がPHP2Shellへの対応のため10月21日にサービスを一時停止する事態となり、銀行や小売、ゲーム、病院、一部の政府機関なども相次いでサーバーを一時的にオフラインにして対応に追われました。
画像引用元: TechCrunch
開示前から悪用の形跡、調整外の早期パッチ公開も
PHP Foundationは10月21日(水)にパッチを公開し、大手のインターネット企業やホスティング事業者には事前に情報を共有して対応の時間を確保していました。ところが、クラウド大手のAmazonは自社のブログで、パッチ公開の約1週間前にあたる10月17日ごろからPHP2Shellの悪用とみられる形跡を検知していたと明らかにしています。情報がどのように漏れたのかは不明ですが、オープンソースという性質上、修正パッチの内容から脆弱性の所在を逆算される可能性や、何らかの経路で事前に情報が漏えいした可能性が指摘されています。PHP Foundationは、ある企業が取り決めていた公開時刻より数時間早くパッチを公開してしまったことも問題視していますが、それだけでは1週間前からの不審な動きを説明しきれないとみられています。
攻撃は収束していない、各社が継続的な監視を呼びかけ
直近の状況として、セキュリティ企業のPalo Alto NetworksとTrail of Bitsは、10月23日(金)時点でPHP2Shellを悪用した侵害と攻撃後の不審な活動を確認したと発表しました。ネットワークセキュリティ大手Cloudflareの最高経営責任者も、脆弱性の開示後に悪用の試みが指数関数的に増加していると明らかにしており、混乱はまだ収束していません。専門家は、脆弱性の悪用には相応の技術的なハードルがあり大規模な自動攻撃にはまだ至っていないとしつつも、未パッチのシステムが世界中に多数残っているとして警戒を続けるよう呼びかけています。企業の情報システム担当者にとっては、自社や取引先のWebサーバー、社内で使っているCMSやツールにPHPが使われていないかを今一度確認し、該当する場合は速やかに最新のパッチを適用することが急務といえるでしょう。
PHP-ocalypse: How two critical web bugs almost broke the internet
Two critical bugs in the PHP web programming language, used by the majority of the internet, threatened to upend the internet — and it's unlikely to be the last major software scare.
