PHP2Shellとは？首相も緊急対応を呼びかけたPHP脆弱性から考える「外部公開資産の把握」

緊急パッチが出たとき、自社の対象システムをすぐ把握できますか？

2026年10月21日、多くのWebサイトで利用されているPHPに、2件の重大な脆弱性が公表されました。

CVE-2026-109618とCVE-2026-109619です。

いずれも認証なしでリモートコード実行につながる可能性があり、PHP Security Teamは修正版への速やかなアップデートを呼びかけています。

日本でもIPAが事前に対応準備を呼びかけ、21日夜には高市首相からも、公開WebサイトでPHPを使用しているか確認し、修正パッチを速やかに適用するよう異例の呼びかけが行われました。

今回の出来事から、企業が考えるべきことは脆弱性そのものだけではありません。

「自社が影響を受けるのか」をすぐ答えられるか

重大な脆弱性が公表されたとき、最初に必要なのは「パッチを当てること」だけではありません。

その前に、

自社のどのシステムがインターネットに公開されているのか。

どのシステムでPHPが使われているのか。

誰がそのシステムを管理しているのか。

委託先が管理しているWebサイトはどうなっているのか。

そして、どれから対応すべきなのか。

こうしたことを短時間で把握する必要があります。

今回のように「今夜対応してください」と言われてから資産を探し始めるのでは、対応できる時間はほとんど残されていません。

PHP2Shellとは

今回公表された2件の脆弱性は「php2shell」とも呼ばれています。

PHP公式情報によると、どちらもPHP本体に存在する重大な脆弱性で、認証されていない攻撃者によるリモートコード実行につながる可能性があります。

PHPプロジェクトは以下の修正版を公開しています。

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

PHP 8.1以前はPHPプロジェクトによるサポートが終了しているため、利用しているディストリビューションやベンダーによる修正状況の確認、またはサポート対象バージョンへの移行が必要です。

PHP側は、完全な回避策はなく、アップデートが安全な対応であるとしています。

今、企業が確認すべきこと

まず、インターネットに公開されているWebサイトやサービスでPHPが利用されているかを確認してください。

対象が見つかった場合は、利用しているPHPのバージョンと修正状況を確認し、修正版への更新を優先します。

自社管理だけでなく、Web制作会社、ホスティング事業者、クラウド環境など、外部に運用を委託しているシステムについても確認が必要です。

特に古いPHPを使用している場合は、「今回パッチを適用する」だけではなく、サポートが継続される環境へ移行することも検討すべきです。

今回の問題から見える、もう一つの課題

私たちPIPELINEが今回特に重要だと考えているのは、脆弱性情報を知っているかどうかだけではありません。

自社の外部公開環境を、普段からどこまで把握できているかです。

Webサイト、サブドメイン、IPアドレス、クラウドサービス、委託先が管理するシステム。

企業のインターネット上の環境は、時間とともに変化します。

そのため、年に一度資産台帳を確認するだけでは、実際に外部から見えている環境との間に差が生まれる可能性があります。

重大な脆弱性が公表されてから、

「うちはPHPを使っているのか？」

「どのサーバーが対象なのか？」

「誰が管理しているのか？」

と調査を始めるのではなく、普段から外部公開資産とその状態を把握しておく。

今回のPHP2Shellは、その重要性を改めて示す事例だと考えています。

「知っている」から「確認できる」へ

RiskSensorでは、インターネットから確認できる企業の外部公開資産やリスクを継続的に可視化し、企業が自社のセキュリティ状態を把握するための支援を行っています。

重要なのは、すべての脆弱性情報を追い続けることだけではありません。

新しいリスクが発生したときに、

「自社は影響を受けるのか」

を判断できる状態を日頃からつくっておくことです。

今回のような緊急対応が必要になったとき、その違いは非常に大きなものになります。