PHPの深刻な脆弱性「PHP2Shell」が公開、Theoriが緊急対応ガイドを発表

PHP2Shellの脆弱性とTheoriの対応

最近、AIを活用したオフェンシブセキュリティ企業のTheoriが、PHPにおける重大な脆弱性「PHP2Shell」について、詳細な検証を行い、企業向けの緊急対応ガイドを公開しました。この脆弱性は、PHP本体の欠陥に起因しており、攻撃者が認証なしに任意のコードを実行できるため、非常に危険です。

脆弱性の概要

「PHP2Shell」(CVE-2026-109618、CVE-2026-109619)は、CVSS v4.0においてスコア9.2（Critical）を記録しており、その影響範囲は広範囲にわたります。具体的には、PHPのバージョン8.2.35、8.3.36、8.4.27、8.5.12以前のすべてのバージョンや、サポートが終了したPHPの8.1以前のバージョン（7.xや5.xを含む）が該当します。

特に問題なのは、PHPプロジェクトが公式にセキュリティアドバイザリを公開する前に、攻撃コードのデモ動画やパッチ適用済みのバイナリが流出したため、悪意のある攻撃者による使用が急速に進行する可能性が高いことです。Theoriの研究チームは、他の攻撃者がすでに同様のエクスプロイトを簡単に制作し、拡散するリスクがあると警告しています。

企業に求められる迅速な対応

Theoriは、パッチ適用が唯一の根本的な対策であると強調し、すぐにPHPをアップデートできない環境に対しては、緊急の暫定緩和策も提示しました。ただし、その暫定策にはセッション機能の不具合などの副作用が伴う可能性があり、全ての攻撃を防ぐものではありません。したがって、早急に修正パッチを適用することが必須です。

TheoriのAI & Cyber Research Leadであるジュノ・イム氏は、「PHP2Shellは、アプリケーションのコードに関係なくサーバー全体を危険にさらしうる、極めて深刻な脆弱性です」と述べています。彼は、利用中のOSやディストリビューションで修正版が提供されているかを確認し、速やかにアップデートすることを強く推奨しています。

対策と具体的な手順

Theoriによる緊急対応ガイドには、PHP2Shellの技術的な仕組みや、設定確認スクリプトの詳細も含まれています。これを活用することで、企業は自身のシステムが影響を受けているかどうかを判断できます。この情報は、Theoriが提供するXint公式サイト（https://xint.io/jp）で確認できます。

XintとTheoriの取り組み

Theoriは、「テクノロジーで世界をより安全にする」を掲げて活動しており、自社のAI技術を用いたペネトレーションテストプラットフォーム「Xint」を開発しています。このプラットフォームは、開発段階から本番環境まで企業のセキュリティ上の脆弱性を検査し、リアルタイムでの対応を可能にします。

XintはAIを駆使してソースコードのコンテキストを追跡し、悪用される可能性のある欠陥を識別します。これにより、企業は潜在的な脆弱性に早期に気づき、対策を講じることができます。

まとめ

PHP2Shellの脆弱性はサイバーセキュリティ界に一石を投じるものであり、企業にとっては迅速な対応が求められています。Theoriが提示する緊急対応ガイドや暫定策を参考にして、企業は早急に行動を起こす必要があります。被害を未然に防ぐために、パッチ適用はもちろん、設定確認の重要性も理解しておくべきです。

会社情報