PHP2Shell の攻撃コードが、リモートコード実行を防ぐ保護機能を回避

何が起きたのか

セキュリティ会社 VulnCheck の研究者が、PHP2Shell を使って遠隔からサーバーを乗っ取れる攻撃コード（エクスプロイト）を作りました。この攻撃は、ASLR が有効な 64 ビット x86 サーバーでも動きます。PHP の推奨設定である本番用の設定でも動くと説明されています。研究者は、これまで ASLR が攻撃の大きな壁になっていたと話しています。

主な数字と事実

• 対象の脆弱性は CVE-2026-109618 で、重大度は「重大」です。
• PHP2Shell は CVE-2026-109618 と CVE-2026-109619 の 2 つの脆弱性の組み合わせです。
• 攻撃が確認されたバージョンは PHP 8.4.26 です。
• PHP Foundation は 2026 年 10 月 21 日（水）に両方の問題を公表し、修正版を出しました。
• GitHub には「数百」の PHP2Shell の試作コードがありますが、実際に動くものはごくわずかだと言われています。

前提となる知識

ASLR は、プログラムがメモリ上で使うデータの場所を、動くたびにランダムに並べ替える仕組みです。攻撃者は場所を推測できないと、悪意あるコードを正しい場所に送り込めません。今回の攻撃は、メモリ情報が漏れる弱点を組み合わせて、この推測の壁を越えています。

なぜ重要なのか

ASLR があるから安全だと考えるのは危険です。研究者は、攻撃の難しさと、守られているかどうかは別の話だと警告しています。多くの組織は、設定を変えたり既存の防御に頼ったりするより、まず PHP を修正版にアップデートすることが大切です。政府のウェブサイトが停止するなど、影響も広がっています。

今後注目すべき点

• 攻撃コードが公開されたり、実際の攻撃に使われたりするかどうか。
• ARM64 のシステムで同じ攻撃が動くようになるかどうか。
• PHP の修正版が多くの組織に行き渡るスピード。