PHPというプログラミング言語の深刻な脆弱性「PHP2Shell」が、公開直後から実際の攻撃に使われていた。セキュリティ企業Dreamは、日本を含む4か国で外部の攻撃から社内ネットワークを守るはずの機器、ファイアウォール24台が侵害されたと報告している。Dreamは、攻撃者が侵入後も組織内ネットワークへのアクセスを保持している可能性が高いと見ている。侵害の全容は、まだ分かっていない。
日本も標的に、24台が侵害された
PHP2Shellは、CVE-2026-109618とCVE-2026-109619という2つの脆弱性の通称だ。外部から認証なしで、機器に任意の命令を実行させられる恐れがある。CVSS v4.0のスコアは、どちらも9.2（Critical）とされている。
確認された悪用の規模
悪用の数字は、2社から別々に出ている。
セキュリティ企業GreyNoiseは、この2つの脆弱性で少なくとも6件の悪用成功を確認したと述べている。両脆弱性は米政府の既知の悪用脆弱性カタログ（KEV）に今週追加された。
一方、Dreamが挙げた数字が24台だ。Dreamによると、侵害されたのは名前が明かされていない大手ベンダーのファイアウォールだった。GreyNoiseの6件とDreamの24台が同じ事案を指すのかどうかは、報道に明記がない。ここでは別々の数字として扱う。
Dreamによると、24台のうち22台はWebシェルが設置されただけだった。残る2台は米政府関連とみられる環境に属し、そこから先の攻撃が行われたという。Dreamは、Active Directoryのユーザー・グループ一覧、認証情報、秘密鍵、ネットワーク構成まで取得されたとしている。管理サーバーからActive Directoryまでどの順で入り込んだかは、初報のPHP2ShellとFragnesiaの連鎖攻撃で追っている。
Dreamはこの攻撃を中国系の攻撃者によるキャンペーンと主張しているが、これはあくまで同社の見立てだ。根拠として、中国語の使用、既知の中国製ツール、中国系AIモデル（DeepSeek、Kimi）の使用、Claude Codeのインストール痕跡を挙げている。ExpelのMarcus Hutchins氏は、エッジ機器を狙う既知の中国系攻撃者の動きと一致するようだと述べた。ただしCISAはコメントを拒否しており、Dreamも政府機関との関係の詳細を明らかにしていない。
標的は米日台韓の4か国
Dreamが描いた攻撃の流れは、無差別ではない。
攻撃者はまず、インターネットに公開されている機器を探す検索サービス「FOFA」で、約19,000台のファイアウォールを特定した。これを約5,000台に絞り、さらに米国・日本・台湾・韓国のサーバーに限定した。最後に、エクスプロイト用のプロファイルが合う240台を標的リストにまとめたという。
この数字の階段の先にあるのが、侵害された24台だ。日本は、絞り込まれた4か国の1つに入っている。
ただし、日本国内で実際に被害が出たかどうかは、現時点で確認されていない。「標的に含まれていた」ことと「被害があった」ことは、切り分けて読む必要がある。
なぜPHPでファイアウォールが破られるのか
機器の管理画面の裏側でPHPが動いている製品がある。PHP2Shellが厄介なのは、管理画面がインターネット側から見える状態だと、認証を通らずに命令を送り込まれる恐れがある点だ。
管理画面が入口になる
影響はPHPの古いバージョンにも及ぶ。セキュリティ企業Wizの調査によると、影響はPHP 5.4以降のほぼ全バージョンに及ぶ。サポートが終わった（EOL）機器には、修正版が出ない可能性がある。
Linuxの弱点で権限奪取
PHP2Shellだけで24台が完全に乗っ取られたわけではない。Dreamによると、PHP2Shellで可能になるのは機器上でコマンドを実行するところまでで、完全な制御には足りない。そこで攻撃者は、Linuxに影響する別の脆弱性CVE-2026-46300を連鎖させたという。
CVE-2026-46300は、10月28日にKEVへ追加された。PHP2Shellに続いて、この弱点も実際の攻撃で使われているということだ。入口のPHPと、権限を奪うLinuxの二段構えである以上、片方のパッチだけでは足りない可能性がある。
公開前から攻撃、修正版は10月21日
攻撃は、修正版が出る前から始まっていた可能性がある。時系列は次のとおりだ。
- 10月17日：Amazon Threat Intelligenceによると、同社のハニーポット「MadPot」にPHP2Shellの悪用試行が届く
- 10月21日：PHPプロジェクトが対策済みの8.5.12、8.4.27、8.3.36、8.2.35を緊急リリース
- 10月23〜24日：Dreamによると、24台への攻撃の大半がこの2日間に集中
- 10月28日：CVE-2026-46300がKEVに追加
- 10月29日：PHP2Shell 2件に対する連邦機関のパッチ適用期限
修正版の公開より4日早い10月17日の試行は、公開前から悪用されていた可能性を示唆する。ただし、現時点で断定できる材料はない。
回避策だけでは足りない
回避策として知られる「session.upload_progress」機能の無効化だけでは、すべての攻撃シナリオを防げないとGMO Flatt Securityは指摘している。設定変更で済ませず、修正版への更新が前提になる。
ファイアウォールやVPN、ルーターなどPHPが組み込まれた機器を使っている組織は、まずベンダーのアドバイザリーを確認し、修正版があれば適用したい。CVE-2026-46300も実際に連鎖して使われたため、機器側のLinux部分の修正が含まれているかも確かめる必要がある。サポートが終わった機器は置き換えの検討対象になる。管理画面を外部から見えない状態にしておくことも、被害を減らす手段になる。
なお、報道によると、悪用には標的ごとの個別の調整が必要とされ、大規模な無差別攻撃とは限らない。ただし、標的の4か国に日本が入っている以上、備えない理由にはならない。
出典
- The Record（Recorded Future News）2026年10月29日付の報道：https://therecord.media/php2shell-successful-exploitation-reports-emerge
GreyNoise、Dream、CISAのKEV登録に関する記述は、上記の報道が伝えた範囲に基づく。Amazon Threat Intelligence、Wiz、GMO Flatt Securityの各社の調査・注意喚起は、個別の公式ページのURLを今回確認できていない。引用元を確認できるまで、各社の公表内容として参照してほしい。
