本日、メンテナンスモードになっているウェブサイトを見かけた場合、それはセキュリティ対策の一環である可能性があります。PHPの2つの重大な脆弱性を狙った攻撃の報告を受け、緊急アップデートのインストールと、パッチが適用されるまで影響を受けるサービスの一時的な停止を検討するよう警告が出されています。
PHP2Shellとして知られるこれらの脆弱性は、CVE-2026-109618およびCVE-2026-109619として追跡されています。どちらも深刻度は10段階中9.2です。
なぜこれが重要なのか
PHPは、ウェブの大部分を支える舞台裏のプログラミング言語です。WordPress、Drupal、Joomla、Magentoをはじめとする多くのアプリケーションを支えており、ユーザーがPHPが使われていることに気づかないソフトウェアも含まれています。
攻撃が成功すると、攻撃者はログインせずに影響を受けるサーバー上で悪意のあるコードを実行できるようになります。そのコードはPHPプロセスに付与された権限で実行されるため、攻撃者はアプリケーションデータの窃盗、ウェブサイトコンテンツの改ざん、バックドアの設置などを行う可能性があります。
PHPチームによると、 Webリクエストを処理するすべてのPHPインストール環境が危険にさらされているという。構成によっては、攻撃者はWebサイト自身のコードが実行される前に脆弱性を悪用できる可能性がある。
Cloudflareの最高技術責任者であるデーン・クネヒト氏は、「初期段階の攻撃が発生している」と報告するとともに、ファイアウォールによる対策は一時しのぎに過ぎないと警告した。
緊急パッチが利用可能になりました
PHPチームは、10月21日午前10時（米国東部時間、UTC午後2時）に緊急セキュリティアップデートを予定していました。現在、 PHP 8.5.12、8.4.27、8.3.36、および8.2.35の修正版がリリースされており、ユーザーは直ちにアップデートするよう強く推奨されています。管理者の方は、ホスティングプロバイダーまたはオペレーティングシステムベンダーに、適切なアップデートパッケージについて確認してください。
管理者がアップデートをインストールしたりシステムをチェックしたりしている間は、ウェブサイトがオフラインになる場合があります。
CERT-EUは、PHPベースのアプリケーションを特定し、できるだけ早くパッチを適用することを推奨しています。即時の修正が不可能な場合は、インターネットに接続するアプリケーションを公共ネットワークから隔離することを検討するよう助言しています。
このリスクは今日の緊急事態が終息した後も続く可能性がある。
より長期的な懸念事項は、放置されたインフラストラクチャです。具体的には、放棄されたウェブサイト、サポート対象外のアプリケーション、PHPベースの管理インターフェースを備えた接続機器などが挙げられます。誰もメンテナンスを行わなかったり、ベンダーがアップデートを提供しなくなったりすると、脆弱な状態のまま放置される可能性があります。
PHP 8.1以前のバージョンは、PHPプロジェクトから定期的なセキュリティアップデートを受け取れなくなりました。これらのバージョンを使用している管理者は、ベンダーが修正プログラムを提供しているかどうかを確認するか、サポートされているバージョンへのアップグレードを検討する必要があります。
ウェブサイトの所有者は、基盤となるPHPインストールを誰が更新するのかを明確にしておく必要があります。WordPressやそのプラグインの更新は、PHPの更新とは異なります。ホスティングプロバイダーやサーバー管理者が修正を適用する必要がある場合があります。
訪問者にとって、一時的なウェブサイトのダウンタイムは、必ずしもウェブサイトが侵害されたことを意味するわけではありません。管理者がアップデートをインストールしている間の、セキュリティ対策の一環である可能性もあります。
しかし、消費者は特に注意する必要があります。「信頼できるウェブサイト」がもはや信頼できない可能性があるからです。これはPHP2Shellだけでなく、 8つのTLS証明書が侵害されたためでもあります。
Shahak Shalev、グローバル詐欺およびAI研究責任者Malwarebytes 、 言った：
「これは、 hackers彼らは正規のウェブサイトを乗っ取り、そのサイトの評判を利用して、フィッシング詐欺を行ったり、信頼できるチャネルから悪意のあるソフトウェアを配布したりすることができる。可能性は無限大だ。」
どうすればいい
ウェブサイト訪問者の場合：
- パッチ適用中は、一部のウェブサイトが一時的に利用できなくなる場合があります。
- 見慣れたサイトであっても、予期しないコンテンツ、ダウンロード、リダイレクト、および繰り返しログインを求められる場合は注意してください。
- 何かおかしいと感じたら、そのページを閉じてください。
- ご自身のデバイスにPHPのアップデートをインストールする必要はありません。
ウェブサイトの所有者の方：
- ホスティングプロバイダーまたはITプロバイダーに、PHPの修正プログラムがスケジュールされているだけでなく、すべてのウェブサイトとアプリケーションにインストールされていることを確認してもらってください。
- すぐにパッチを適用できない場合は、影響を受けるサービスを一時的に停止すべきかどうかを尋ねてください。
- ご自身でサーバーを管理されている場合は、 PHP のアップデート手順に従ってください。
- サポート対象外のPHPを使用していますか？ベンダーによる修正プログラムを確認するか、サポートされているバージョンにアップグレードしてください。
何Malwarebytes している
- ハッキングされたウェブサイトからお客様を守ります： Malwarebytesウェブ保護機能とBrowser Guard既知の有害サイト、詐欺ページ、危険なダウンロードをブロックします。当社の研究者は、これらの脆弱性を悪用して侵害されたウェブサイトを監視し、迅速にブロックリストに追加します。
- 自社ウェブサイトの更新について：弊社はマネージドホスティングプロバイダーを利用しており、PHPの修正プログラムのインストール作業を進めています。更新が完了するまで、ウェブサイトを綿密に監視していきます。
被害が及ぶ前に脅威を阻止しましょう。
Malwarebytes Browser Guard フィッシングページや悪意のあるサイトを自動的にブロックします。無料、ワンクリックでインストールできます。ブラウザに追加 →
