PHP2Shellへの緊急対応｜「パッチが出るまでどうするか」を迫られた約半日の記録
2026年10月21日、PHPに2件の重大な脆弱性、CVE-2026-109618およびCVE-2026-109619が公表されました。いずれも、条件が成立した場合に認証なしでリモートコード実行（RCE）につながる可能性がある脆弱性です。PHPプロジェクトはCVSS v4.0 9.2のCriticalと評価し、PHP 8.2.35、8.3.36、8.4.27、8.5.12を修正版として公開しました。PHP Security advisory
PHP公式は今回の脆弱性について、完全な緩和策はなく、修正版への更新が安全な対応であるとしています。
さらにAWSは、脆弱性の正式公開より4日前の10月17日の時点で、同脆弱性を狙ったとみられる悪用試行を観測していたことを公表しています。つまり、「詳細が公表されてから攻撃が始まる」と考えることもできない状況でした。AWS Security Blog
当社での対応
AiSpaceでは、当社が管理するインターネット公開システムについて影響確認を開始しました。
今回、特に重視したのは「修正版が公開されたか」ではなく、実際に対象サーバーへ修正版が適用され、安全を確認できたかです。
主な経過は次のとおりです。
10月21日夜
脆弱性情報と影響範囲を確認。修正版適用前の状態で公開を継続するリスクを考慮し、20時40分ごろから対象となる複数のWebシステムへの外部アクセスを順次遮断しました。これは侵害を確認したためではなく、予防的な措置です。
同日深夜
PHPから修正版が公開されたことを確認。ただし、「修正版が公開されたこと」と「自社サーバーへの修正適用が完了したこと」は別であるため、この時点ではサービス停止を継続しました。
10月22日早朝
対象環境でPHP 8.2.35への更新を実施。適用されたバージョンと主要機能の動作を確認したうえで、7時ごろから順次サービスを再開し、関係先への連絡を行いました。
別系統のAWS環境
PHP本体では修正版が公開されていても、OSディストリビューションから提供される更新パッケージがすぐには利用できない環境もありました。実際、Amazon Linuxでは公表直後の時点で該当CVEの修正が「Pending Fix」とされていました。
この環境では、不完全な暫定対策だけで公開を再開せず、修正版パッケージを待って適用し、検証環境で確認した後、本番環境を更新してサービスを再開しました。
現時点で、今回の脆弱性を利用した当社管理システムへの侵害や情報流出は確認されていません。
今回あらためて分かったこと
今回の対応で重要だったのは、パッチを速く当てることだけではありませんでした。
セキュリティアップデートには、
「脆弱性が判明する」
→「開発元が修正版を公開する」
→「OSやホスティング事業者がパッケージを提供する」
→「実際のサーバーへ適用する」
→「プロセスを再起動する」
→「適用結果を確認する」
→「アプリケーションの動作を確認する」
という複数の段階があります。
「パッチ公開済み」という情報だけを見て安全になったと判断することはできません。今回、当社ではその空白時間について、サービス継続よりも一時停止を選択しました。
利用者にとってサービス停止は決して望ましいことではありません。しかし、認証不要のRCEが成立し得る脆弱性で、しかも完全な回避策が存在しない状況では、安全性を確認できないままサービスを提供し続けることの方が大きなリスクになると判断しました。
「止める」というセキュリティ対策
サイバーセキュリティというと、WAFやEDR、監視システムなどの技術的な防御策に目が向きがちです。しかし重大な脆弱性への対応では、状況によっては「一時的に公開を止める」ことも重要なセキュリティ対策です。
特に今回のように、
- 修正版の公開が迫っている
- 完全な緩和策がない
- 認証不要のRCEにつながる
- すでに悪用の兆候が報告されている
という条件が重なった場合、数時間の可用性より機密性・完全性を優先する判断には十分な理由があります。
次に備える
今回の対応は、修正版を適用して終了ではありません。
PHP 8.2は2026年12月31日にセキュリティサポート終了を迎える予定であり、PHP公式もより新しいサポート対象バージョンへの移行を促しています。PHP Supported Versions
また今回、PHP本体の修正版公開時刻と、各サーバー環境で実際に更新可能になる時刻に差が生じることも改めて確認できました。
AIGIS Cyber Labでは今回の事例を踏まえ、
- 外部公開システムと実行環境の把握
- 緊急停止手順の標準化
- アップデート提供経路の確認
- 復旧時のバージョン確認と動作確認
- サポート終了を見据えた基盤更新
を継続して見直していきます。
重大な脆弱性対応では、「どんな製品を導入しているか」だけでなく、情報を得てから実際に安全な状態へ戻すまで、組織としてどう動けるかが問われます。今回のPHP2Shellは、そのことが非常に分かりやすく表れた事例でした。
関連記事
参考資料
- PHP, Security advisory: Critical remote code execution vulnerabilities, update now, October 21, 2026.
- PHP, GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (CVE-2026-109618).
- PHP, GHSA-6wmf-4rv5-p3rp: RCE via stale global state (CVE-2026-109619).
- AWS Security Blog, Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot, October 21, 2026.
- AWS Security Bulletin 2026-143-AWS, PHP web runtimes (CVE-2026-109618 and CVE-2026-109619).
- Amazon Linux Security Center, CVE-2026-109618.
- Amazon Linux Security Center, CVE-2026-109619.
- PHP, Supported Versions.
情報確認日：2026年10月22日。公表内容は今後更新される可能性があります。