PHP重大脆弱性「PHP2Shell」がネットを揺るがす
原題: PHP-ocalypse: How two critical web bugs almost broke the internet
なぜ重要か
PHP稼働サイトは世界のウェブの大部分を占めており、今回の脆弱性は金融・医療・行政など社会インフラ全体に影響しうる規模のリスクだった。
2026年10月22日、PHPに存在する2つの重大な脆弱性「PHP2Shell」（CVE-2026-109618・CVE-2026-109619）が公開された。パスワード不要でサーバーへの侵入・データ改ざんが可能なこの脆弱性は、セキュリティ企業Califが発見。PHP Foundationは協調開示を経てパッチをリリースし、各国政府や銀行・病院・小売業者などが対応に追われた。未修正のシステムは依然として多数残る。
PHPに潜在していた2つの脆弱性「PHP2Shell」が、世界規模のセキュリティインシデントに発展した。CVE-2026-109618とCVE-2026-109619と正式に指定されたこのバグは、認証なしでPHPを動かすサーバーに侵入し、データの閲覧・改ざんを可能にする。影響範囲はウェブサイトからイントラネットまで広く、PHPがいかに広く普及しているかを改めて示した。
2つの脆弱性は2024年に最初に発見されたが、当時は悪用不可能と判断されパッチは適用されなかった。その後、セキュリティ企業Califの研究者が実際に悪用できる手法を見つけ、PHP Foundationに報告。Foundationは大手インターネット企業やウェブホスティング事業者に対して、公開前に情報とパッチをエンバーゴ（非公開義務付き）で事前提供し、業界全体での準備期間を確保した。
パッチ公開後、各国政府は市民・企業に対して早急な対応を呼びかけた。銀行、小売業者、ゲーム会社、医療機関、一部の政府機関がサービスを一時停止してパッチ適用に踏み切った。こうした事前調整のおかげで、大規模な悪用は今のところ回避されている。
ただし、研究者は「まだ終わっていない」と警告する。世界には依然として未修正のシステムが多数存在しており、攻撃者がその機会を狙っている。さらに、AI技術の進化により、これまで見つかっていなかった脆弱性の発見ペースが加速すると予想する声もある。今回の騒動は「たまたま大きな被害を免れた」側面が強く、次のインシデントが同様に収束するとは限らない。