Check PointがPHP2Shellに警告、世界の組織の10%で攻撃の試み

Check Pointは2026年10月22日、PHP2Shellの攻撃状況を発表した。同社によると、世界の組織の10%で脆弱性を悪用する攻撃の試みを確認したが、攻撃の成否は把握できていない。

攻撃の試みと被害は別

PHP2Shellは、CVE-2026-109618とCVE-2026-109619の総称だ。どちらもPHPというプログラミング言語の本体にある脆弱性、つまり安全上の弱点を指す。PHPは、多くのウェブサイトやネット通販などに使われる。

Check Pointによると、弱点の詳細は予定された公表より前に流出した。実際に攻撃対象となっており、ログインなしでサーバー上のコードを遠隔実行される恐れがあるという。サーバーは、サイトなどを動かすコンピューターのことだ。

同社は、悪用がデータ窃取や接続先への攻撃、サービス停止につながり得るとしている。ただし、今回の10%は攻撃を試みられた割合であり、被害を受けた割合ではない。

地域別では欧州が14%。北米・中南米・アジア太平洋は各6%だった。分野別では通信業が20%、教育分野が18%だったという。

かんたんに言うと、直すのはサイトの土台

サイトを建物にたとえると、今回の問題は内装ではなく土台の弱点に当たる。Check Pointによると、WordPressなどで動くサイトや共有サーバーも影響対象だ。WordPressはサイトを動かす仕組みである。

WordPressやプラグイン(追加機能)の更新だけでは解消しないという。同社は、サーバー上のPHP自体を修正版に更新するよう求めている。

修正済みのPHPは8.2.35、8.3.36、8.4.27、8.5.12だ。PHP 8.1以前は、修正を個別適用しない限り脆弱なままだとしている。

同社は外部に公開されたシステムから優先して更新し、関連サービスを再起動するよう勧告した。その後、修正版が動いているか確認する必要がある。外部のサーバーを借りている場合は、運営会社への修正適用確認を勧めている。

日本では

日本との関わりは発表には書かれていない。アジア太平洋の集計は示されているが、日本での攻撃状況を示すものではない。

まとめ

対策は更新だけで終わらない。Check Pointによると、修正しても攻撃者が既に残した不正コードや被害は取り除けない。不審なPHPファイルや未知の外部接続など、侵害の兆候の点検も勧告している。

すぐに修正できないサービスには、アクセス制限や一時停止を勧めている。Check Point Researchは監視を続け、新情報に応じて分析を更新する予定だ。