Cohesity（日本法人: コヒシティジャパン合同株式会社、東京都港区）は、Webアプリケーションなどで広く利用されるプログラミング言語PHPに発見された深刻な脆弱性「PHP2Shell」(CVE-2026-109618およびCVE-2026-109619) についての見解を発表した。同社のグローバル・サイバーレジリエンス戦略・コンサルティング・対応サービス担当バイスプレジデントであるJames Blake（ジェームズ・ブレイク）氏が、企業や組織への影響と推奨される対策を示している。

今回の脆弱性は、WebサーバーだけでなくPHPを利用する各種アプリケーション、ネットワーク機器、セキュリティ製品などへ影響が及ぶ可能性がある。攻撃者に悪用された場合、認証を経ずに遠隔から任意のコードを実行されたり、システム内の機密情報にアクセスされたりするリスクが存在する。

PHPは、WordPressなどのWebサイト管理システムをはじめ、多様なサービスや製品に使用されている。Webサーバーのみならず一部のネットワーク機器やセキュリティ製品にも使われているため、企業が把握していないシステムに脆弱性が存在する懸念がある。

特に、Apache WebサーバーでPHPを動作させる「mod_php」については、企業が導入状況を十分に把握していないケースもあるとされる。また、金融機関も他企業と同様にPHPを利用しており、影響を受ける可能性がある。金融機関ではWebアプリケーションファイアウォール (WAF) や踏み台サーバーなどの多層的なセキュリティ対策が導入されている場合があるものの、すべての攻撃を防げるわけではないため、自社システムの公開状況やアクセス制限の確認が求められる。

機密情報漏えいリスクと旧バージョンにおける対応

脆弱性が悪用された場合、認証情報を使わずに遠隔からシステムを不正操作されたり、パスワードやAPIキー、認証情報などが盗まれたりするおそれがある。複数のWebサイトが同一サーバーを利用している場合は、被害が他サイトへ広がる可能性も指摘されている。

PHP 8.2以降のサポート対象バージョンには修正プログラムが公開されているが、公式サポートが終了したPHP 5やPHP 7では通常プログラムでの対応が難しく、新バージョンへの移行に伴うシステム改修が必要になる場合がある。即座に更新できないシステムについては、外部ネットワークからの切り離しなどの対策が求められる。また、クラウドやホスティングサービスの提供事業者が対応する場合もあるため、提供事業者の状況確認が必要となる。

Cohesityが推奨する6つの対策

Cohesityは、企業や組織に向けて以下の6つの対策を推奨している。

1. サイバーレジリエンスの確保

インターネットに公開された旧バージョンのPHPを利用するシステムを保有する組織では、バックアップや復旧体制を含むサイバーレジリエンスを早急に確認・強化する。

1. 修正プログラムの適用と影響システムの隔離

インターネットに公開されたmod_phpを利用するシステムを優先し、修正プログラムを適用する。直ちに対応できない場合は、対象システムを隔離する。

1. WAFなどによる暫定的な防御策の導入

修正プログラムの適用まで時間を要するシステムについては、WAFルールやセキュリティベンダーが提供する検知シグネチャを活用し、攻撃リスクの低減を図る。

1. 管理インターフェースへのアクセス制限

ネットワーク機器やアプライアンスなどの管理画面について、信頼できるIPアドレスからのみアクセスを許可するなど、外部からのアクセスを制限する。

1. 修正困難なシステムの保護

セキュリティアップデートを適用できないシステムについては、信頼できないネットワークから切り離し、攻撃を受ける可能性を低減する。

1. 修正後の侵害調査の実施

修正プログラムを適用した後も、すでに不正アクセスや侵害が発生していないかを調査する。CohesityのThreat Huntingなどの脅威ハンティング機能を活用し、侵害の兆候を継続的に確認することが重要となる。

James Blake（ジェームズ・ブレイク）氏は、「企業は脆弱性への対処とサイバーレジリエンスの強化を一体的に進める必要があります」と述べている。

Cohesityの概要

• 拠点情報: 日本法人はコヒシティジャパン合同株式会社（東京都港区）
• 事業内容: AIを活用したデータセキュリティ、Zero Trustセキュリティと高度なAI/MLを備えた「Cohesity Data Cloud」の提供
• 実績: Global 500の70％を含む、140以上の国の顧客に利用されている
• 支援企業: NVIDIA、Amazon、Google、IBM、Cisco、HPE
• 認定: 複数の国において「Great Place to Work」（働きがいのある会社）の1社に認定
• 公式情報: LinkedIn、www.cohesity.com

本記事はCohesityの発表をもとに作成。