PHP2Shellとは？ネットワーク機器への影響と企業が取るべき脆弱性対策

2026年11月10日 最終更新日時 : 2026年11月10日 utmhikaku

2026年10月、プログラミング言語PHPに、外部から不正なプログラムを実行されるおそれがある重大な脆弱性が公表されました。2つの脆弱性は「PHP2Shell」と呼ばれ、米国のサイバーセキュリティ当局CISAが管理する、実際の悪用が確認された脆弱性の一覧にも登録されています。

さらに、独立行政法人情報処理推進機構（IPA）は2026年11月2日、PHPがVPN機器やセキュリティアプライアンスのWebインターフェースにも利用されていることを注意喚起に追記しました。

つまり、今回の問題はWebサイトの管理者だけが確認すればよいものではありません。企業が利用しているネットワーク機器や業務システムについても、メーカーからの脆弱性情報を確認する必要があります。

この記事では、PHP2Shellの仕組みと影響範囲、ネットワーク機器との関係、企業が取るべき対策について、専門知識がなくても理解できるように解説します。

結論からいうと、最も重要なのは、自社が利用するPHPや関連製品の影響を確認し、メーカーが提供する修正プログラムを適用することです。UTMやWAFによる防御だけでは、脆弱性そのものを解消できません。

PHP2Shellとは？2026年10月に公表された重大な脆弱性

PHP2Shellとは、PHPの内部処理に存在する2つの脆弱性を組み合わせた呼称です。

PHPは、WordPressをはじめとするWebサイトや業務システムなどで利用されているプログラミング言語です。通常、利用者がWebサイトにアクセスすると、PHPが必要な処理を実行してページを表示します。

今回の脆弱性では、特定の条件下でPHPの内部処理に問題が発生し、攻撃者が遠隔から任意のコードを実行できる可能性があります。

任意のコード実行とは、攻撃者が本来許可されていないプログラムをサーバー上で動かせる状態を指します。悪用された場合、サーバー内の情報への不正アクセスやシステムの改ざんなどにつながるおそれがあります。

対象となる2つの脆弱性

識別番号脆弱性の概要想定される危険性
CVE-2026-109618メモリ不足（OOM）発生時の内部データ処理に関する問題不正なメモリ処理を利用した任意のコード実行
CVE-2026-109619リクエスト処理で古い内部状態が残る問題不適切な内部状態を利用した任意のコード実行

いずれもPHP開発元が重大な問題として公表しており、2026年10月21日に修正版が公開されています。

また、IPAによると、両脆弱性は10月26日（米国現地時間）にCISAのKEVカタログへ登録されました。KEVとは、実際に悪用されたことが確認されている脆弱性をまとめた一覧です。

ただし、KEVへの登録は、すべてのPHP環境が侵害されたことを意味するものではありません。IPAは10月27日の更新時点で、国内における本件の攻撃被害事例は把握していないと説明しています。

PHP2Shellの影響を受けるバージョン

PHP開発元とIPAが公表した修正版は次のとおりです。

PHPの系列影響を受けるバージョン本件の修正版
PHP 8.28.2.35より前8.2.35
PHP 8.38.3.36より前8.3.36
PHP 8.48.4.27より前8.4.27
PHP 8.58.5.12より前8.5.12

上記は2026年10月21日に公表された修正版です。実際の更新時には、各系列の最新のセキュリティ更新情報を確認してください。

PHP 8.1以前を利用している場合

PHP 8.1以前のバージョンは、PHP開発プロジェクトによる公式サポートが終了しています。

今回の脆弱性の調査に関与したWiz社によると、PHP 5.4以降のバージョンは、少なくとも今回の2つの脆弱性のいずれかの影響を受けるとされています。

ただし、Linuxディストリビューションや長期サポートを提供する事業者が、古いPHPに修正をバックポートしている場合があります。バックポートとは、新しいバージョンの修正内容を古いバージョンへ移植することです。

そのため、PHPのバージョン番号だけで修正済みかどうかを判断せず、OSやPHPの提供元が公開するセキュリティ情報を確認することが重要です。

PHP開発元は、PHP 7.4・8.0・8.1についても、ソースコードから構築する利用者などを対象に、今回の問題に対応する最小限の修正コードを提供しています。ただし、これは各バージョンの通常サポートが再開されたことを意味しません。

なぜVPNやUTMなどのネットワーク機器にも注意が必要なのか

今回のPHP2Shellで注目すべき点は、PHPが一般的なWebサイト以外にも利用されていることです。

IPAは2026年11月2日の注意喚起で、PHPがVPN機器やセキュリティアプライアンス製品のWebインターフェースなどにも利用されていると説明しています。

Webインターフェースとは、ブラウザから機器の設定や状態確認を行うための管理画面です。

企業で利用されるネットワーク機器には、ブラウザから設定を変更したり、通信ログを確認したりする機能を備えた製品があります。

こうした機器の内部で脆弱なPHPが利用されており、攻撃が成立する条件も満たしている場合、影響を受ける可能性があります。

すべてのUTM製品が影響を受けるわけではない

ここで注意したいのは、PHP2Shellが公表されたからといって、すべてのVPN機器やUTM製品に脆弱性が存在するわけではないという点です。

FortinetのFortiGate、Check Point、SonicWallなどについても、製品名だけでPHP2Shellの影響があると判断することはできません。

実際の影響は、製品の内部構成、ファームウェアのバージョン、PHPの利用状況、外部からアクセスできる機能などによって異なります。

利用している製品が対象かどうかは、必ずメーカーの公式セキュリティ情報や保守窓口で確認してください。

管理画面の外部公開にも注意

PHP2Shellの影響とは別に、ネットワーク機器の管理画面をインターネットへ直接公開している場合は、アクセス制御を見直すことが重要です。

管理画面が外部から利用できる状態では、認証情報の窃取や別の脆弱性を悪用した攻撃の対象になる可能性があります。

業務上必要な場合でも、管理元IPアドレスの制限、管理ネットワークの分離、多要素認証など、製品が対応する防御機能を組み合わせることが望まれます。

PHP2Shellに対して企業が実施すべき5つの対策

1. PHPを利用しているシステムを洗い出す

最初に行うべきことは、自社のどこでPHPが使われているかを把握することです。

  • 企業の公式WebサイトやWordPress
  • ECサイトや顧客向けWebサービス
  • 社内の業務システム
  • クラウド・VPS上のWebアプリケーション
  • VPN機器やセキュリティ機器の管理機能
  • 外部の保守会社が管理するシステム

ネットワーク機器については、利用者が内部のPHPバージョンを直接確認できない場合もあります。その際は、メーカーのセキュリティアドバイザリや保守会社への問い合わせで影響を確認します。

2. 修正版やメーカー提供の更新プログラムを適用する

PHP開発元は、今回の脆弱性に対して更新が唯一の完全な対策であると説明しています。

PHPを直接管理している場合は、修正版への更新を計画してください。OSのパッケージ管理で導入している環境では、OS提供元の修正パッケージと適用状況を確認します。

ネットワーク機器の場合は、メーカーが指定するファームウェアや修正プログラムを適用します。機器内部のPHPだけを独自に置き換えることは、製品の正常動作やサポートに影響するおそれがあるため、メーカーの指示に従ってください。

3. 管理画面へのアクセスを制限する

更新作業と並行して、管理画面の公開範囲を確認します。

  • 不要なインターネット側の管理アクセスを停止する
  • 管理を許可するIPアドレスを限定する
  • 一般利用者のネットワークと管理用ネットワークを分離する
  • 利用できる場合は多要素認証を有効にする
  • 使用していない管理サービスを無効化する

これらはPHP2Shellだけに限定されない、ネットワーク機器の基本的なセキュリティ対策です。

4. ログを確認し、不審な動作がないか調査する

脆弱性が存在する可能性のあるシステムでは、アクセスログやシステムログを確認します。

例えば、通常とは異なる大量のリクエスト、予期しないプロセスの起動、不審な外部通信、管理設定の変更などがないかを調べます。

ただし、これらの事象だけでPHP2Shellによる攻撃と断定することはできません。異常が見つかった場合は、ログや関連する証拠を保全し、専門の担当者や保守事業者に調査を依頼してください。

また、ログに異常が見つからないことだけで、侵害されていないと断定することもできません。

5. 保守契約と更新体制を見直す

脆弱性が発見された際、すぐに更新できる体制があるかどうかは重要なポイントです。

保守契約が終了している機器や、サポート対象外のソフトウェアでは、修正プログラムを入手できない場合があります。

企業は、利用している製品のサポート期限、ファームウェアの更新方法、保守会社への連絡先、更新時の業務影響などを定期的に確認しておく必要があります。

すぐにPHPを更新できない場合の暫定対策

古いPHPを使用する業務システムでは、アプリケーションの互換性などの問題から、すぐにバージョンアップできない場合があります。

その場合でも、脆弱な状態を放置してよいわけではありません。

PHP開発元は、今回の脆弱性について、更新できない場合に攻撃の成立可能性を下げるための緩和策を案内しています。

暫定対策目的と注意点
session.upload_progress.enabled=0CVE-2026-109619の確認済み攻撃経路の一部を抑制します。設定後はPHPワーカーの再起動が必要です。
post_max_sizeの適切な制限大きなリクエストによる負荷や特定の攻撃経路を制限します。業務上必要なアップロードサイズを考慮します。
memory_limitの設定見直しCVE-2026-109618の特定の発生条件を減らす目的です。PHP開発元はmemory_limit=-1を緩和策として案内していますが、メモリ消費への対策が別途必要です。
Webサーバー側のリクエスト制限リクエストサイズや入力項目数などを制限します。ただし、すべての攻撃経路を遮断できるわけではありません。
アクセス元の制限不要な外部公開を減らし、攻撃対象となる範囲を限定します。

これらは修正プログラムの代わりにはなりません。PHP開発元は、緩和策を実施しても脆弱性が完全に解消されるわけではないと説明しています。

また、memory_limit=-1はPHPによるメモリ使用量の上限を解除する設定です。安易に変更すると、システム全体のメモリ不足やサービス停止につながる可能性があります。コンテナやOS側でのメモリ制御、監視体制などを含め、運用環境に応じた検討が必要です。

緩和策を講じても十分な安全性を確保できない場合は、IPAが案内するように、外部アクセスの遮断やサービスの一時停止も選択肢に含めて判断する必要があります。

UTM・IPS・WAFはPHP2Shellの対策になるのか

企業のネットワークセキュリティ対策として、UTM、IPS、WAFなどの製品が利用されています。

これらの製品は不正通信の検知やアクセス制御に役立ちますが、PHPの脆弱性そのものを修正する機能ではありません。

対策主な役割PHP2Shellへの位置付け
PHPの修正プログラム脆弱性そのものを修正最優先で実施すべき根本対策
UTMネットワークの通信制御と複数のセキュリティ機能の統合アクセス制御や不正通信の検知などを補完
IPS既知の攻撃パターンなどを検知・遮断対応する検知ルールがある場合に攻撃を抑制できる可能性
WAFWebアプリケーションへの不正なHTTP通信を検知・遮断対応する防御ルールがある場合に特定の攻撃を抑制できる可能性
EDRサーバーや端末での不審な動作を監視・検知侵害後の不審な挙動の発見や調査を支援

IPSやWAFが特定の攻撃を防御できるかどうかは、製品の機能、検知ルール、設定、通信経路などによって異なります。

PHP2Shellに対応する検知ルールの提供状況は、利用しているセキュリティ製品のメーカーに確認してください。

また、UTM自身の管理機能に脆弱性が存在する場合、そのUTMの通信検査機能だけで自分自身を保護できるとは限りません。

脆弱性の修正、管理画面のアクセス制限、ネットワークの防御、ログ監視を組み合わせることが重要です。

FortiGate・Check Point・SonicWallを利用する企業が確認すべきこと

FortiGate、Check Point、SonicWallなどのUTM・ファイアウォール製品を利用している企業は、PHP2Shellに限らず、メーカーが公開する脆弱性情報を継続的に確認することが重要です。

製品によって、ファームウェアの更新方法、管理画面へのアクセス制御、ログ管理、保守サービスの内容などが異なります。

今回のPHP2Shellについて、これらのメーカーの全製品が影響を受けるという情報は確認されていません。特定製品の影響については、公式アドバイザリで確認する必要があります。

製品利用者向け確認チェックリスト

  • 利用している機器のメーカー・型番・ファームウェアを把握しているか
  • メーカーから脆弱性情報が公開されていないか
  • 管理画面をインターネットへ不要に公開していないか
  • ファームウェアの更新手順を把握しているか
  • 保守契約とサポート期限を確認しているか
  • 機器の設定バックアップを安全に保管しているか
  • 更新後の動作確認や障害発生時の復旧手順を用意しているか

新たにUTMを導入する場合は、セキュリティ機能や処理性能だけでなく、メーカーの脆弱性対応方針、保守体制、更新のしやすさも比較することをおすすめします。

企業の脆弱性対策は「更新できる仕組み」が重要

今回のPHP2Shellは、Webサイトや業務システムだけでなく、ネットワーク機器の管理機能についても確認する必要性を示しています。

企業のセキュリティ対策では、新しい機器を導入することだけでなく、導入後に継続して安全な状態を維持できるかどうかが重要です。

特に中小企業では、情報システム担当者が少人数であったり、外部の保守会社に運用を任せていたりする場合があります。

そのような環境では、脆弱性情報を誰が確認するのか、更新の判断を誰が行うのか、障害が発生した場合に誰へ連絡するのかを明確にしておく必要があります。

IPAも、更新が難しいシステムについては、管理担当者だけでなく経営層を含めて、人員・予算・保守体制を検討するよう呼びかけています。

まとめ｜PHP2Shellへの対応はネットワーク機器の管理体制も見直す機会

PHP2Shellは、PHPに存在する2つの重大な脆弱性を指します。2026年10月21日に修正版が公開され、10月26日には米国CISAのKEVカタログにも登録されました。

さらにIPAは11月2日、PHPがVPN機器やセキュリティアプライアンスのWebインターフェースなどにも利用されている点を注意喚起に追加しています。

企業が優先すべき対応は、次のとおりです。

  1. 自社のPHP利用環境と関連するネットワーク機器を確認する
  2. メーカーや提供元の脆弱性情報を確認する
  3. 修正版や対策済みファームウェアを適用する
  4. 管理画面の公開範囲とアクセス制御を見直す
  5. 更新できないシステムは暫定対策と移行計画を検討する

UTMやIPSは企業のネットワークを守る重要な対策ですが、ソフトウェアの脆弱性を修正することの代わりにはなりません。

今後UTMの導入や更新を検討する際は、セキュリティ機能だけでなく、ファームウェア更新、保守契約、メーカーの脆弱性対応体制なども確認しましょう。

参考資料・公式情報

※本記事は2026年11月10日時点で確認できた公式情報を基に作成しています。脆弱性の影響範囲、修正状況、各製品への対応は今後変更される可能性があります。実際の対応ではメーカーやサービス提供元の最新情報をご確認ください。

カテゴリー
技術的対策
前の記事
個人情報漏洩を防ぐUTMの選び方｜企業が確認すべき7つのポイントと製品比較
2026年10月15日