【続報】php2shell、更新しても終わりではない｜これから起きると予想されることと、今から備える5つのこと

2026年10月21日に公表されたPHPの重大な脆弱性「php2shell」について、前回の記事では「今日やること」を書きました。公表から3日がたち、状況はかなり動いています。

結論から先に書くと修正版に更新しても、それで終わりではありません。 分かっている事実と、これから起きると予想されることを分けて書きます。

(2026年10月24日時点で公開されている情報をもとにしています。状況は今後変わる可能性があります)

まず、ここまでに分かっていること

• Amazonは、修正版が公開される4日前の10月17日から、おとりのサーバー(ハニーポット)でこの脆弱性を狙った攻撃の試みを観測していたと報告しています

• CloudflareのCEOは、公表の前の10時間に数千件、公表の約45分後に数万件、2時間後に数十万件、その後は数百万件の試みを観測したと投稿しています(どれも「試み」の数で、成功した数ではありません)

• 攻撃を試すためのコード(PoC)がGitHubで急増し、ある調査では関連する27件が確認されています(出来はまちまちで、動かないものも混ざっています)

• 一方で複数のセキュリティ会社は、実際に乗っ取りに成功した例は確認できていないと報告しています

• 影響を受ける可能性があるインターネット公開のPHPの数は、調査会社によって約224万台から2,260万台以上までと大きく異なります。数え方(台数・サービス数など)が違うためで、どれも乗っ取られた数ではありません

攻撃の試みは大量に起きていますが、成功例は確認された範囲では少ないというのが、現時点の姿です。ただし後で触れるように、侵入後の活動を観測したという報告もあります。

マンチーの身の回りでも

発表があった10月21日に、マンチーの勤務先にあるQRコード決済専用の自販機が、急に使えなくなりました。

原因は分かりません。php2shellと関係があるのかも、確認できていません。偶然かもしれませんが、この日は予防のために止まったサービスが多かったので、気になっています。

普段は気にもしない身近な支払いが、ある日突然止まる。ITの土台の弱点は、こういう形で暮らしに現れるのだと実感しました。

これって「ゼロデイ攻撃」？

ゼロデイ攻撃とは、開発元が知らない段階や修正版がまだ無い段階で、脆弱性を悪用される攻撃のことです。対策が間に合うまでの日数がゼロ日という意味で、こう呼ばれます。

今回は少し複雑です。

• 公表の前から攻撃の試みが観測されていたので、ゼロデイになりかけた状況でした。ただし試みの観測と実際の侵入の成功は別のことです

• 修正版が出た今は、修正版があるのに更新されていないサーバーを狙う段階に入っています。これはワンデイ攻撃(修正版の公開後に行われる攻撃)と呼ばれることが多いものです

• さらに3件目の脆弱性(CVE-2026-115560)も報じられました。10月21日の更新では直らず、悪用に必要な条件が限られているため緊急パッチは出ず、次の通常リリースで修正される予定です。回避策として「session.upload_progress.enabled=0」の設定が案内されています

ですから今回の怖さは、ゼロデイそのものよりも修正版が出たあとに長く続く攻撃にあります。

これから起きると予想されること

ここからは専門家の見立てや過去の事例にもとづく予想で、確定した事実ではありません。

1. 攻撃がだんだん本格化する

公開されたPoCの多くは、まだ不完全だと見られています。ただある調査会社は、特定のPHPのバージョンで防御機能(ASLR)を回避できる公開コードがあると報告し、自社の非公開の攻撃コードは対象の版を広げているとしています。確実に動くツールが広まるほど、攻撃者は増えていくと考えられます。

2. 更新されないサーバーが長く狙われ続ける

PHPはホームページの土台なので、更新が遅れるサーバーが長く残る(いわゆるロングテール)と見られています。PHP開発チームの公式の修正が出ないPHP 8.1以前を使い続けているサーバー(OSやサーバー会社が独自に直している場合もあります)や、放置されたサーバーが特に心配です。

3. 更新前に入り込まれていたケースがあとから見つかる

更新前に侵入されてバックドア(裏口)を仕掛けられていたら、更新しても直りません。 攻撃者はいつでも出入りできる状態を残して静かに待つことがあり、何か月もたってから被害が表に出る可能性もあります。

4. 盗まれた「鍵」から被害が広がる

攻撃の目的として、パスワードやAPIキーなど環境に保存された秘密情報を盗むことが挙げられています。盗まれた鍵でクラウドのサービスや別のサイトに入られる二次被害が広がる恐れがあります。

5. AIを使った攻撃のスピードアップ

Palo Alto NetworksのUnit 42は、攻撃者がAIの攻撃用プラットフォームを使って侵入後の活動を行った事例を報告しています。欧州の政府機関で、最初の侵入から2時間以内にパスワードのハッシュ値や多要素認証の秘密情報に到達したとされています。ただし、この事例の最初の侵入がphp2shellだったとは、報告では明言されていません。攻撃の速度は今後さらに上がると考えておくべきでしょう。

今から備える5つのこと

1. 自分のPHPが修正済みかを確認する。 レンタルサーバーならサーバー会社のお知らせを見てください。会社によってはバージョン番号を変えずに修正するので、番号だけでは判断できません

2. VPSなど自分で管理しているサーバーは、自分で更新する。 サーバー会社は更新してくれません。3件目の回避策(session.upload_progress.enabled=0)もあわせて検討してください

3. 10月17日以降のログと不審なファイルを確認する。 見覚えのない.phpファイルや管理者アカウントが増えていないか見ます

4. 「鍵」を作り直す。 データベースのパスワードやAPIキーなどです。作り直した鍵は**.envファイルに保存して.gitignoreに入れ**、GitHubなどに公開されないようにしてください。HTMLやコードに直接書くのは絶対に避けてください

5. 古いPHPから早めに乗り換える計画を立てる。 8.1以前はPHP開発チームの公式の修正が出ません。OSやサーバー会社が独自に直している場合もあるので、その案内も確認してください

まとめ

• php2shellは公表前から攻撃の試みがあり、公表後には数百万件の試みが観測されました

• 成功例は確認された範囲では少ないと報告されていますが、確実に動く攻撃ツールが広まると状況が変わる恐れがあります

• 今後は更新されないサーバー・すでに仕掛けられたバックドア・盗まれた鍵からの二次被害が心配されます

• 修正版に更新したら終わりではなく、確認と鍵の作り直しまで進めてください

不安をあおりたいわけではありません。ただ「更新したから大丈夫」と思ってしまうのが、いちばん危ないと思っています。

(この記事は公開されている情報とマンチー個人の見解にもとづいています。詳しい情報はPHP開発チームやIPAなどの公式の発表を必ずご確認ください)

【この記事が興味深かった方は、以下記事もおすすめです】

＜おすすめ記事①＞
PHPに、サーバー乗っ取り級の重大な穴が見つかった話と、今日やることを知りたい方はこちら。

＜おすすめ記事②＞
ふさいだはずの穴は、なぜ直しても戻るのか。AIは攻撃の道具か、守りの味方かを考えたい方はこちら。

＜おすすめ記事③＞
興味本位で「見に行く」のが、なぜ危ないのか。GMOの情報流出の件で考えたい方はこちら。

#PHP #php2shell #脆弱性 #ゼロデイ攻撃 #WordPress #リモートコード実行 #セキュリティニュース #セキュリティ対策 #サイバー攻撃 #munchie