PHPの重大脆弱性PHP2Shell狙う攻撃が活発化世界の組織の10％標的

チェック・ポイント・ソフトウェア・テクノロジーズの脅威インテリジェンス部門であるCheck Point Researchは、プログラミング言語「PHP」の重大な脆弱性2件を狙った攻撃が現在、活発に行われていることを明らかにしました。「PHP2Shell」と呼ばれるこれらの脆弱性（CVE-2026-109618およびCVE-2026-109619）の詳細が正式公開前に漏えいして以降、世界中の組織の10％が標的となっています。攻撃はセキュリティチームの監視が手薄になる深夜0時に最も活発化することが判明しており、オランダとフィンランドでは政府機関が被害防止のため一部のウェブサイトを停止しました。

PHP2Shellの概要と想定される影響

PHP2ShellはPHPエンジンそのものに存在する脆弱性で、影響範囲は広範に及びます。対象となるのは、WordPress、Drupal、Joomla、Magentoを基盤とするウェブサイトやオンラインストア、共有ホスティングプラットフォーム、cPanelやPleskといった管理パネル、さらに多数の商用アプリケーションです。

攻撃者はこれらの脆弱性を悪用し、ログインすることなく、対象のサーバー上で任意のコードをリモートで実行できるため、データの窃取や接続された他のシステムへの攻撃、サービス停止などの被害につながるおそれがあります。現時点で実際に侵害に至ったかどうかは不明ですが、正式公開前の情報流出によって防御側の準備期間が短縮されたほか、悪用ツールのスクリーンショットも出回り始めています。

欧州をはじめとする被害状況と狙われる業種

地域別では欧州の組織の14％が攻撃の標的となっており、北米、中南米、アジア太平洋地域（APAC）の6％と比較して2倍以上に上っています。最も低かったのはアフリカの4％でした。国別ではハンガリーが38％で世界最多となり、デンマークが32％、オーストリアが28％、スウェーデンとルーマニアがそれぞれ22％で続いています。上位18カ国のうち欧州以外はタイ（17％）とインド（14％）の2カ国のみでした。

業種別では通信が20％と最も高く、世界全体の割合の2倍に達しています。次いで教育が18％、メディア・エンターテインメントと団体・非営利組織がそれぞれ16％と続きました。調査対象の23業種のうち10業種が世界平均の10％を上回る一方、最も低かったのはバイオテクノロジー・製薬の5％でした。

チェック・ポイントのエンタープライズ部門責任者であるシャーロット・ウィルソン（Charlotte Wilson）は、政府機関がウェブサイトを停止する判断を下すほど問題が深刻に受け止められていると言及し、システムの更新を最優先事項としつつ、広範な組織を危険にさらしかねない技術への過度な依存という本質的な課題を指摘しています。

求められる対策と侵害兆候の確認方法

PHP2ShellはPHPそのものに起因するため、WordPressをはじめとするコンテンツ管理システム（CMS）やプラグインの更新では対処できず、サーバー上のPHPを直接アップデートする必要があります。修正はPHP 8.2.35、8.3.36、8.4.27、8.5.12で提供されていますが、PHP8.1以前のバージョンは修正がバックポートされない限り脆弱な状態が続くため注意が求められます。

組織が取るべき具体的な対策および侵害の確認ポイントは以下の通りです。