HBLAB JAPAN、PHP脆弱性調査サービスを10月23日開始へ

株式会社エイチビーラボジャパンは、PHPの重大な脆弱性「PHP2Shell」への対応として、影響範囲を調査・評価するサービス「PHP2Shell Assessment」の提供を2026年10月23日より開始します。エンジニアが稼働中のPHPシステムを個別に評価し、対応の優先順位を明確にしたうえで緊急対応から長期運用に至る計画を提案します。他社が開発したシステムも対象に含まれます。

PHPのランタイムに重大な脆弱性「PHP2Shell」が公表

PHP開発チームが公表した2件の重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）は、CVSS v4.0のスコアが9.2とされ、認証なしでリモートから任意のコードを実行されるおそれがあります。脆弱性はPHPのランタイム自体に存在し、WordPressやLaravelを利用したシステムから独自開発のシステムまで、幅広い稼働環境に影響する可能性があります。W3Techsによると、2026年8月時点でPHPはサーバーサイド言語を特定できるWebサイトの約70％で使用されています。

本脆弱性を巡っては、JPCERT/CCやIPA、国家サイバー統括室が注意喚起を行っています。時事通信によると、高市早苗首相も企業に対してWebサイトの点検と速やかなパッチ適用を呼びかけました。また、Amazonの報告では、公表日の10月21日より4日前の10月17日から攻撃の試みが確認されており、同日までさかのぼった調査が推奨されています。パッチ適用前に侵害されていた場合、更新だけでは既存のマルウェアや不正な侵入経路を除去できないため、侵害の有無を確認することも重要とされています。

個別の脆弱性対応にとどまらないリスク管理の必要性

PHP2Shellの原因となる脆弱性はPHPのソースコード内に長年潜在しており、AIを活用した調査によって発見されました。セキュリティ企業Wizは、AIがPHPのバージョンや設定に応じた攻撃コードの調整にも活用され得ると指摘しており、AIによって脆弱性の発見と悪用が加速するリスクが高まっています。Node.jsでも2026年に複数回のセキュリティ修正が行われています。

さらに、PHP 8.2は2026年12月31日にセキュリティサポートが終了する予定であるほか、PHP 8.1以前には今回の脆弱性に対応する公式の修正版リリースが提供されていません。そのため、今回のパッチ適用を終えても近い将来に再びサポート終了への対応が必要となるシステムが存在します。企業には、個別の対応だけでなくシステムの影響範囲の把握や優先順位の判断、マイグレーションや継続的な脆弱性管理まで見据えた対応プロセスの整備が求められています。

3つの原則に基づくアセスメントの実施

HBLAB JAPANでは、アセスメントにおいて以下の3つの原則を重視しています。

稼働環境の実態を正確に把握する：ランタイム自体に存在する脆弱性のため、WordPressやフレームワークの更新だけでなく、実際にサーバー上で稼働しているPHPのバージョンに応じた対応方針を判断します。
外部公開状況とパッチ適用の可否を踏まえて優先順位を決める：インターネットからアクセス可能で、公式パッチが提供されていないPHPバージョンを利用しているシステムを最優先の対象とします。
パッチ適用だけで対応を終わらせない：公表前の侵入リスクを考慮し、パッチ適用後も侵害の痕跡を調査し、必要に応じて認証情報を更新します。

特に他社開発のシステムなどでは稼働環境の網羅的な把握に課題を抱えるケースがあることから、現状把握の支援を進めます。

「PHP2Shell Assessment」では、パッチ適用の有無を問わず、状況に応じた支援を行います。

パッチ未適用のシステム：修正版への更新を優先し、根本的な対処が完了するまでの間は暫定的なリスク低減策を実施するなど、緊急対応を行います。
パッチ適用済みのシステム：パッチが正しく適用され有効に機能していることを確認したうえで、侵害の痕跡調査や認証情報の更新を実施します。また、サポート終了が近いPHPやフレームワークを使用している場合はマイグレーションを検討し、継続的な脆弱性管理を通じて今後のセキュリティ更新に備えます。

アセスメントの実施に先立ち、現状や評価対象の範囲を確認するための個別無料相談も受け付けています。なお、NDA（秘密保持契約）を締結していない顧客については、作業開始前にNDAを締結します。

株式会社エイチビーラボジャパンの概要

所在地：〒105-0012東京都港区芝大門1丁目3番4号　グランファースト芝大門6階
代表者：Nguyen Huy Thang（グエン・フイ・タン）
事業内容：ソフトウェア開発／システム移行（マイグレーション・モダナイゼーション）／AIソリューション／ローコードソリューション／マネージドサービス
認証：プライバシーマーク（Pマーク）、ISMS（ISO/IEC 27001）、CMMIレベル3
URL：https://hblab.co.jp/

本記事は株式会社エイチビーラボジャパンの発表をもとに作成しました。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。