Theori、PHPの深刻な脆弱性PHP2Shellの緊急対応ガイドを公開

AIを活用したオフェンシブセキュリティ企業のTheori（代表：Brian Pak）は、PHPの深刻な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について自社環境での再現・検証を完了し、企業・組織向けの緊急対応ガイドを公開した。

PHP2ShellはWebアプリケーションの実装内容にかかわらずPHP本体の欠陥に起因する脆弱性で、攻撃者は認証を経ずにリモートから任意のコードを実行してサーバーを掌握したり、プロセスメモリの内容を読み取ったりすることが可能とされている。

脆弱性の概要と急速なPoC拡散

今回の脆弱性は、CVSS v4.0のベーススコアで9.2（Critical）と評価されており、極めて大きい影響が見込まれている。

特に、PHPプロジェクトによる公式セキュリティアドバイザリの公開に先立ち、概念実証（PoC）のデモ動画とパッチ適用済みのバイナリが流出する事態が発生した。これをもとにしたPoCが急速に拡散していることから、企業には迅速な対応が求められている状況にある。Theoriの研究チームは、攻撃コードを独自に再現・検証する過程を踏まえ、他の攻撃者が同様のエクスプロイトを作成・拡散するのも時間の問題だと分析している。

影響を受けるバージョンと求められる対応

本脆弱性の影響を受ける対象は以下のバージョンとなっている。

PHP 8.2.35、8.3.36、8.4.27、8.5.12より前のバージョン
サポートが終了したPHP 8.1以前のバージョン（7.x、5.xを含む）

PHPプロジェクトは、修正版（8.2.35、8.3.36、8.4.27、8.5.12）への速やかなアップデートを強く推奨している。

Theoriは、パッチ適用が唯一の根本的な対策であるとしたうえで、すぐにPHPをアップデートできない環境に向けて緊急の暫定緩和策もあわせて提示した。ただし、暫定緩和策はセッション機能の不具合などの副作用を伴う可能性があり、すべての攻撃を防げるものではないため、修正パッチを早急に適用することが不可欠だとしている。

専門家による指摘と対応情報の提供

TheoriのAI & Cyber Research Leadであるイム・ジュノ（Junoh Im）は、利用中のOSやディストリビューションで修正版が提供されているかを確認し、速やかにアップデートすることを強く推奨すると述べた。さらに、パッチ適用までの間は暫定緩和策を適用するとともに、設定確認スクリプトを実行して設定状況と侵害の有無を確認するよう呼びかけている。

PHP2Shellの技術的な仕組み、設定確認スクリプト、詳細な対応ガイドは、Xint公式サイト(https://xint.io/jp)で公開されている。

提供元およびプラットフォームの概要

今回の検証およびガイド公開を行った企業と関連製品の概要は以下の通りである。

Theori：世界最高峰のハッキング大会「DEF CON CTF」で最多優勝（通算9回）の実績を持ち、Google、Microsoft、Samsung Electronicsなどにセキュリティコンサルティングを提供する企業。
Xint（ジント）：Theoriが開発したAI活用の自律型ペネトレーションテストプラットフォーム。米国防高等研究計画局（DARPA）の研究事業者に選定されている。
Xint Code：ソースコードのコンテキストとデータフローを追跡し、悪用可能な欠陥を事前に発見するAIベースのホワイトボックス型ペネトレーションテスト。
Xint Web：稼働中のサービスを攻撃者の視点から検査するAIベースのブラックボックス型ペネトレーションテスト。
Xint Pulse：必要なタイミングで個別のWebアプリケーションを検査するオンデマンド型ペネトレーションテストソリューション。

本記事はTheoriの発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。