Cohesityが警告するPHPの脆弱性『PHP2Shell』とその対策

AIを活用したデータセキュリティのリーダー、Cohesityがこのたび、Webアプリケーションで使用されるプログラミング言語PHPに存在する深刻な脆弱性『PHP2Shell』について警鐘を鳴らしました。この脆弱性は、CVE-2026-109618およびCVE-2026-109619として登録されており、企業や組織に大きな影響を与える可能性があります。

PHP2Shellの危険性

『PHP2Shell』は、Webサーバーにとどまらず、SQLサーバーや一部のセキュリティ製品、ネットワーク機器にまで広がりを見せる恐れがある問題です。攻撃者がこの脆弱性を悪用すると、認証を経ずにシステムにアクセスし、遠隔から任意のコードを実行したり、機密情報を取得したりするリスクが考えられます。

特に、金融機関や公共機関など、PHPを広く使用している業界では、深刻な影響を受ける可能性があります。Cohesityのグローバル・サイバーレジリエンス戦略・コンサルティング・対応サービス担当バイスプレジデント、ジェームズ・ブレイク氏は、影響を受けるシステムの特定と迅速な修正プログラムの適用、ネットワークへのアクセス制限が重要であると訴えています。

PHPの使用範囲

PHPはWordPressなど多くのWebサイト管理システムで利用されており、そのため多角的なサービスや製品で脆弱性が潜むことは無視できません。特に、Apache Webサーバー上でPHPを動作させる『mod_php』は、多くの企業が導入状況を把握していないため、注意が必要です。Cohesityは、企業に対してPHP利用状況やインターネットからのアクセス権限を確認するよう呼びかけています。

金融機関のリスク

金融機関もPHPを使用するため、PHP2Shellの影響を受けるリスクがありますが、彼らはWAF（Webアプリケーションファイアウォール）や踏み台サーバーによって多層的なセキュリティ対策を講じていることが多います。これによって不正アクセスのリスクは軽減されるものの、すべての攻撃を防げるわけではありません。各企業は自社のシステムの公開状況やアクセス制限の見直しが求められます。

機密情報の漏洩リスク

脆弱性が悪用されると、攻撃者がパスワードなどの認証情報を使わずにシステムを不正に操作する恐れがあり、さらにパスワードやAPIキーなどが盗まれる可能性もあります。このリスクは、複数のWebサイトが同じサーバーを利用する場合、他のサイトにも波及する恐れがあります。修正プログラムを適用するだけではなく、既に不正アクセスを受けていないかの確認も重要です。

古いPHPの更新が不可欠

PHPのバージョン8.2以降には、今回の脆弱性に対する修正プログラムが公開されていますが、古いバージョンのPHP（5や7）では、対応が難しい状況です。できるだけ早急に新しいバージョンへの移行が求められますが、これが容易ではない場合、対象システムを外部ネットワークから隔離するなどの対策が必要です。

Cohesityの推奨する対策

Cohesityは、企業に向けて次の6つの対策を推奨しています。

1. サイバーレジリエンスの確保: 旧バージョンのPHPを利用するシステムでバックアップを含む体制を強化します。
2. 修正プログラム適用とシステム隔離: 最優先で修正プログラムを適用し、すぐに対応できない場合は対象システムを隔離します。
3. 暫定的防御策の導入: WAFルールなどを活用し、リスクを軽減します。
4. アクセス制限の設定: 機器やアプライアンスの管理画面の外部アクセスを制限します。
5. 修正困難なシステムの保護: 信頼できないネットワークから対象システムを切り離します。
6. 侵害調査の実施: 修正後も不正アクセスの有無を調査します。

「今回のPHP2Shellは、幅広い組織が注意すべき脆弱性です」とブレイク氏は述べています。企業は脆弱性への対処とサイバーレジリエンスの強化を同時に進めるべきであると強調しています。