Informational

勧告：PHP2Shellの脆弱性（CVE-2026-109618、CVE-2026-109619）

CVE(N)

CVE-2026-109618

CVE-2026-109619

製品

Sophos UTM

更新日

2026 Oct 22

記事バージョン

公開日

2026 Oct 21

公開 ID

sophos-sa-20261021-php2shell

回避策

概要

2026 年 10 月 20 日、PHP インタプリタにおける 2 つの脆弱性、CVE-2026-109618 および CVE-2026-109619 (「PHP2Shell」) の存在が、協調的な開示に先立って公開されました。どちらも認証なしで Web サーバーアカウントの権限によるリモートコード実行を可能にするおそれがあり、CVSS v4.0 のスコアは 9.2（緊急）です。「修復」に記載されている修正済みリリースより前のすべての PHP バージョンが影響を受けます。PHP Project は、Apache mod_php の導入環境が最もリスクが高いと考えています。PHP-FPM、php-cgi、FrankenPHP、および LiteSpeed も影響を受けます。Amazon 脅威インテリジェンスは、公開開示前の 2026 年 10 月 17 日に悪用の試みを報告しており、その後、他のセキュリティベンダからもさらなる悪用の試みが報告されています。

Sophos 製品に対して必要なアクションはありません。独自の環境で PHP を実行している、または PHP をバンドルしたサードパーティ製品を使用しているお客様は、「修復」に記載されている手順に従ってアップデートを行う必要があります。Sophos Firewall および Sophos Endpoint をご利用のお客様は、2026 年 10 月 22 日にリリースされた IPS シグネチャを使用して悪用の試みを検出できます。「回避策」を参照してください。

対象となる製品とバージョン

Sophos 製品はこれらの脆弱性の影響を受けません。このアドバイザリは、お客様が自身の環境における PHP の導入状況を評価する一助となるよう公開されています。

Sophos ホスト型サービス

サポート終了となった SG UTM 向けのレガシーな Sophos ホスト型ライセンスサービスである MyUTM ポータルで、影響を受ける PHP バージョンが実行されていました。Sophos は 2026 年 10 月 21 日にポータルをオフラインにし、サービスを復旧させる前にアップデートを行っています。Sophos はポータルのログを調査しており、現時点で悪用の形跡は見つかっていません。調査は継続中であり、状況が変わった場合は Sophos がこのアドバイザリを更新します。ポータルがオフラインの間、ライセンスに関するサポートが必要な SG UTM のお客様は、Sophos サポートまでお問い合わせください。

修復

2026 年 10 月 21 日、PHP Project は両方の脆弱性に対処するため、PHP 8.5.12、8.4.27、8.3.36、および 8.2.35 をリリースしました。これらのアップデートは自動的にはインストールされません。PHP を実行している組織は、これらのアップデートを適用するか、Linux ディストリビューション、ホスティングプロバイダ、またはアプライアンスのベンダから提供される同等のパッケージを適用する必要があります。PHP 8.1 以前はサポート終了となっており、脆弱性が残っています。PHP Project は 7.4、8.0、および 8.1 向けにソースコードのみのバックポートを公開しましたが、バイナリのリリースは提供されません。これらのバージョンを使用しているシステムは、サポートされているブランチにアップグレードする必要があります。

更新 - 2026 年 10 月 28 日

Sophos Firewall v22 および v23 ファームウェアの全バージョンに対するホットフィックスをリリースしました。このホットフィックスには、WAF の共通脅威フィルタの追加ルールが含まれています。新しいルールにより、両方の CVE に対する既知の悪用の試みを検出できるはずです。新しいルールはアプリケーション攻撃カテゴリに含まれるため、WAF ルールに保護ポリシーが割り当てられており、CTF が有効で、アプリケーション攻撃グループがオンになっている場合にのみアクティブになります。

これらのルールは緩和策に過ぎないため、これらの脆弱性を根本的に解決するには PHP のアップグレードが必要です。

また、可能性は低いものの誤検出が発生する場合があります。問題が発生した場合は、reverseproxy.log で次のルール ID を確認してください。9481021、9481022、9481023。これらは、保護ポリシー内の通常のスキップフィルタルールリストを使用して無効にできます。

影響を受けるシステムの特定

アセットの記録だけでなく、実行状況も確認して PHP の使用状況を把握してください。プロセス名が php、php-fpm、php-cgi の実行中のプロセスや、バージョン番号が付いたもの (例: php8.3) を探してください。
バイナリ自体から PHP のバージョンを確認してください。インストールパスは手がかりに過ぎません。
サードパーティ製アプライアンスやホスト型サービスにバンドルされている PHP も対象に含め、各ベンダにパッチの適用状況を確認してください。

侵害の兆候の確認

PHP Project は 2026 年 8 月 11 日にこれらの問題に関する最初の報告を受け取りました。少なくとも 2026 年 10 月 17 日以降、悪用の試みが観測されています。予防措置として、Sophos は 2026 年 8 月 1 日以降の公開システムにおけるアクティビティについて、以下の項目を確認することを推奨します。

Web および WAF のログ: 通常はアップロードを受け付けないエンドポイントへの multipart/form-data 形式の POST、および PHP_SESSION_UPLOAD_PROGRESS フィールドを含むリクエスト。多くの CDN ログやアクセスログはリクエストボディを記録しないため、WAF ログやアプリケーション層のログが必要になる場合があります。
PHP および Web サーバーのエラーログ: メモリ不足エラーやワーカーのクラッシュ (セグメンテーション違反) の急増。
プロセスアクティビティ: PHP プロセスまたは Web サーバープロセスによって生成された子プロセス。まず通常の動作をベースラインとして把握し、その上でシェル、スクリプトインタープリタ、またはダウンロードユーティリティを調査してください。
Web ルートディレクトリ: Web シェルの存在を示している可能性のある、新規作成または変更された PHP ファイル。
ネットワークアクティビティ: PHP プロセスから予期しない宛先または ASN への送信接続。
認証: 2026 年 8 月 1 日以降に成功した、影響を受けるアプリケーションへの管理者アカウントでのログイン。

回避策

直ちにアップデートできない場合は、以下の手順でリスクを軽減してください。

インターネットに公開されている PHP アプリケーションをオフラインにするか、ZTNA などのネットワーク層認証の背後に配置してください。
アプリケーションがアップロードを受け付けない場合は、file_uploads = Off に設定し、multipart/form-data リクエストが PHP に到達する前に、Web サーバーまたは WAF で拒否してください。
PHP プロジェクトの暫定的な緩和策を適用してください。memory_limit=-1 (CVE-2026-109618 で利用されるメモリ不足状態を防ぎます)、session.upload_progress.enabled=0、および PHP 8.5 では fatal_error_backtraces=0 を設定します。
設定を変更した後はすべての PHP ワーカーを再起動し、PHP CLI ではなく、実際の Web リクエスト (phpinfo() など) から有効な設定を確認してください。

これらの対策は、特定の攻撃経路のみに対処するものです。RASP やアプリケーション組み込み型 WAF エージェントなどのプロセス内保護機能では、悪用を防げない可能性があります。Apache mod_php では、アプリケーションコードが実行される前に、認証されていないリクエストによって CVE-2026-109618 がトリガーされる可能性があります。この回避策は、PHP のアップデートに代わるものではありません。

Sophos Firewall および Sophos Endpoint IPS

Sophos は、これらの脆弱性を悪用しようとする試みを検出する IPS シグネチャを Sophos Firewall および Sophos Endpoint 向けにリリースしました。これらは PHP のアップデートに代わるものではありません。