PHP重大脆弱性とは？世界で政府・企業サイト停止が相次ぐ理由

世界規模の予防停止を招いたPHP2Shell

2026年10月21日、PHP開発チームは認証なしで遠隔コードを実行される恐れがある2件の重大な脆弱性を修正しました。通称「PHP2Shell」と呼ばれる問題で、政府機関や企業、学校、医療関連サイトが更新と安全確認のため相次いで公開を停止しました。

重要なのは、サイトが表示されないことが直ちに攻撃被害を意味するわけではない点です。多くは侵害される前に外部接続を遮断した予防措置でした。本稿では、PHPが社会のデジタル基盤に深く入り込んだ理由と、なぜ通常の更新ではなく緊急停止が必要になったのかを整理します。

PHPがウェブの中枢を担う仕組みと依存範囲

ブラウザーに届く前のサーバー処理

PHPは「PHP: Hypertext Preprocessor」を名称とする、オープンソースの汎用スクリプト言語です。利用者の端末で動くブラウザー向けJavaScriptとは異なり、主にウェブサーバー上で実行されます。

利用者が商品ページや行政手続きの画面を開くと、PHPはデータベースから必要な情報を取得し、権限や入力内容に応じてHTMLを組み立てます。完成したページだけがブラウザーへ送られるため、利用者からPHPの存在が見えないサイトも少なくありません。PHP公式マニュアルは、フォーム処理、Cookie、動的ページの生成などを代表的な用途に挙げています。

PHPが消えると、公開済みの画像や固定ページは表示できても、ログイン、検索、予約、決済、申請といった動的機能が止まる場合があります。ウェブサイトの外観を作る言語というより、ブラウザーから見えない業務ロジックを動かすエンジンと考えると分かりやすいでしょう。

約7割という数字の正確な意味

利用実態を調査するW3Techsによると、2026年10月23日時点で、サーバー側の言語を判別できたサイトの69.3％がPHPを使用していました。アクセス数上位100万サイトに絞った場合も64.4％です。W3Techsの集計は全ウェブサイトを直接調べた数字ではないものの、PHPの影響範囲が突出して大きいことを示します。

普及を支えた代表例がWordPressです。ブログだけでなく、企業サイトや自治体の特設ページにも導入され、テーマやプラグインを組み合わせて比較的低コストで機能を追加できます。WordPressはPHP 8.3以上を推奨する一方、レガシー環境ではPHP 7.4以降でも動作すると案内しており、互換性を優先して古い実行環境を残す運用も起こり得ます。

ただし、今回の欠陥はWordPressだけの問題ではありません。DrupalやJoomlaなどのCMS、自社開発システム、管理画面、ネットワーク機器に組み込まれたPHPも対象になります。表面上は別の製品名でも、内部の実行環境としてPHPを抱えている可能性があります。

委託運用と旧システムに埋もれた依存関係

政府や大企業では、同じドメインの下に異なる時期、異なる事業者が構築したシステムが並存します。本体サイトが安全でも、キャンペーンページ、資料検索、問い合わせフォームなどに古いPHPが残っていれば、個別の確認が必要です。

更新には、PHP本体だけでなくCMS、拡張機能、データベース接続、文字コード処理などの互換性試験も伴います。担当者や設計資料が失われたシステムでは、緊急パッチが公開されても即座に適用できません。この「見えない依存関係」と長年の技術的負債が、世界同時の停止を招いた背景です。

二つの欠陥が認証不要の乗っ取りを許す構造

メモリ管理を崩す二つの欠陥

CVE-2026-109618は、PHPがメモリ不足に陥った際の終了処理に関係します。リクエスト用データの初期化が終わっていない段階で処理が中断されると、終了処理が不完全なデータを有効なものとして扱い、メモリ破壊から遠隔コード実行へ発展する可能性があります。

攻撃者は、ファイル送信などに使うmultipart形式のリクエストを細工し、見かけの通信量以上にサーバーのメモリを消費させられます。PHPの公式アドバイザリによると、Apacheのmod_php構成では、アプリケーション固有のコードが始まる前に攻撃経路が成立し得ます。

CVE-2026-109619は、前の通信で使われた内部状態が解放後も残り、同じPHPワーカーが処理する後続リクエストから参照される問題です。本来無効なメモリを現役のデータとして扱う「use-after-free」が起き、巧妙に配置されたデータによってメモリの読み取りやコード実行につながります。

こちらは攻撃用の状態を残すリクエストと、それを利用する後続リクエストが同じワーカーへ到達する必要があります。ワーカー数が多ければ一回当たりの成功率は下がりますが、繰り返し送信できるインターネット上では安全を保証する条件になりません。

アプリの手前で成立する攻撃経路

両脆弱性はCVSS v4.0で9.2の「Critical」と評価されました。ログイン情報や利用者の操作を必要とせず、成功すればウェブ処理を担当するプロセスの権限で命令を実行できるためです。

調査に参加したWizは、当時のWordPress、Drupal、Joomlaのコンテナ環境で認証前の遠隔コード実行を実証しました。欠陥はCMSではなくPHP本体にあるため、単純な「Hello World」のページでも、実行環境と設定次第で影響を受けます。PHPプロセス内のパスワード、トークン、APIキーなどを読み取れる経路も確認されました。

したがって、CMSやプラグインだけを最新版にしても解決しません。ウェブアプリケーションファイアウォールは既知の不審なリクエストを減らせますが、サーバー内部の状態や全ての攻撃経路は確認できません。PHP開発チームは、修正版への更新だけが完全な解決策だとしています。

AIが縮めた発見から悪用までの時間

OpenAIの説明では、セキュリティ企業CalifがGPT-5.6 Solを利用して重大な欠陥を発見し、Wizも独立して両脆弱性を報告しました。PHPの保守担当者を中心に、クラウド事業者、セキュリティ企業、各国当局が約2カ月かけて修正と防御策を準備しました。

AIが自律的に全てを解決したわけではありません。人間が報告を検証し、修正内容を決定してテストを実施しています。一方、複雑なメモリ配置を分析し、異なるバージョンや設定に攻撃手法を適応させる作業では、AIが専門家の試行速度を大きく引き上げました。

防御側だけがこの能力を使えるわけでもありません。AWSは、一般公表より前の10月17日に、ハニーポットへPHP2Shellの悪用を試みた通信を観測しました。実システムへの侵害成功を証明するものではありませんが、修正公開後には複数の実証コードと広範な攻撃試行が短時間で現れています。従来の「公開後数週間で更新」という対応速度では間に合わない局面です。

緊急更新後も残る侵害確認と旧環境の重荷

PHP開発チームは、8.2.35、8.3.36、8.4.27、8.5.12を修正版として公開しました。PHP 8.1以前は公式サポートが終了しており、PHP側は深刻度を踏まえて7.4、8.0、8.1向けの最小限のソース修正も用意しました。ただし、実際の製品ではLinuxディストリビューションや長期保守事業者が提供するパッケージの確認が必要です。

英国NCSCと日本のIPAは、直ちに更新できず、有効な暫定対策も難しい場合には、外部接続の遮断やサービス停止を検討するよう案内しました。消費者庁は7つの特設サイトを予防的に停止しましたが、10月22日時点で同庁や国民生活センターへの不正アクセスは確認していないと説明しています。世界で相次いだ「サイト消失」の多くは、侵害の結果ではなく、危険な時間帯を安全にやり過ごすための判断でした。

修正版を導入して終わりではありません。AWSの観測を踏まえれば、少なくとも10月17日以降のウェブサーバーログ、PHPワーカーからの不審なプロセス起動、予期しないファイル変更を調べる必要があります。侵害の兆候があれば、バックドアの除去に加え、サーバーから参照可能だった認証情報やAPIキーの交換も求められます。

さらにPHP側は10月23日、CVE-2026-115560という別の遠隔コード実行経路を公表しました。特定のセッション設定を実行時に切り替える珍しい構成でのみ成立する問題で、通常の修正サイクルで対応する方針です。次回更新まではsession.upload_progress.enabled=0を維持するよう推奨されています。これはPHP2Shell向け緊急更新を無効にする話ではなく、更新後も継続監視が必要だという追加の注意事項です。

サイト運営者と利用者が今取るべき行動

運営者は、公開サイトだけでなく、管理画面、委託先環境、コンテナ、機器内蔵のPHPまで棚卸しする必要があります。修正版またはベンダー提供のバックポートを適用し、全ワーカーを再起動したうえで、稼働中の実体が更新済みか確認します。更新できないシステムはWAFだけに頼らず、VPN内への隔離か一時停止を優先すべきです。

一般利用者が端末のPHPを更新する必要はありません。ただし、停止中の行政・企業サイトを装った偽の再開案内や、別URLへの誘導には注意が必要です。サイト停止を攻撃成功と決めつけず、再開後も運営主体の公式発表を確認してから認証情報や個人情報を入力することが、現実的な防御になります。

今回の危機が示したのは、一つの言語の欠陥だけではありません。社会を支えるオープンソースと古い業務システム、そして脆弱性の発見と悪用を同時に高速化するAIが結び付いた問題です。組織には、緊急時だけの更新ではなく、資産台帳、保守期限、停止時の代替手段を平時から整える姿勢が求められます。

参考資料:

• PHP公式「Critical remote code execution vulnerabilities, update now」
• PHP Security Advisory「RCE via OOM corruption」
• PHP Security Advisory「RCE via stale global state」
• PHP Manual「What is PHP and what can it do?」
• PHP Supported Versions
• W3Techs「PHP usage statistics」
• WordPress.org「Requirements」
• OpenAI「Patch the Planet: global response coordination」
• Wiz「PHP2Shell: AI uncovers critical RCE vulnerabilities」
• AWS「PHP2Shell exploitation prior to public disclosure」
• 英国NCSC「Critical security issue affecting PHP」
• Canadian Centre for Cyber Security「Statement regarding critical vulnerabilities in PHP」
• IPA「PHPの脆弱性対策について」
• 消費者庁「堀井消費者庁長官記者会見要旨」
• AP「Governments, companies rush to patch a PHP vulnerability」