CISA、PHP2Shell を既知の悪用された脆弱性(KEV)カタログに追加　米政府機関の対応期限は10月29日

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、PHP2Shell と呼ばれる2件の脆弱性 CVE-2026-109618 と CVE-2026-109619 を、既知の悪用された脆弱性(KEV)カタログに追加しました。追加日は 2026年10月26日 です。CISA は同日、PHP2Shell に関するアラートもこの変更に合わせて更新しています。

KEV に掲載されたということは、CISA が実際の悪用を示す証拠を得たことを意味します。10月23日にアラートを更新した時点では、CISA は攻撃の成功をまだ確認していないとしていました。その後の週末、Apache mod_php 上の PHP 8.4.26 で攻撃者が実際にシェルを取得したことがハニーポットのデータで示されています。

KEV の掲載内容

• CVE-2026-109618:「PHP Memory Corruption Vulnerability」。メモリ不足時の処理でメモリ破損が起き、認証なしでリモートコード実行が可能になる脆弱性です。
• CVE-2026-109619:「PHP Stale Internal Request-State Vulnerability」。こちらも認証なしでリモートコード実行が可能です。
• 追加日: 2026年10月26日。対応期限: 2026年10月29日。
• BOD 26-04 に基づくフォレンジック調査: 必要。パッチを当てるだけでなく、侵害の痕跡を調べることが求められます。
• ランサムウェア攻撃での使用: 不明。

3日間という期限は、拘束力のある運用指令(BOD)26-04 に基づき米連邦民間機関に適用されるものです。民間企業に法的な義務はありませんが、CISA はすべての組織に対し、KEV カタログをパッチの優先順位付けに使うよう呼びかけています。

取るべき対策

CISA の推奨内容は変わっていません。

1. すべての PHP を洗い出す。 アプライアンスやベンダー製品に組み込まれた PHP は見落としやすいので注意してください。
2. PHP 8.5.12、8.4.27、8.3.36、8.2.35 のいずれかに更新する。 インターネットに公開されたシステムから優先します。mod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeed を含め、Web リクエストを処理するすべての構成が影響を受けます。
3. パッチを当てられないシステムはオフラインにする。 PHP 本家が修正を提供しない PHP 8.1 以前は特に対象です。
4. WAF は一時しのぎと考える。 時間稼ぎにはなるかもしれませんが、更新の代わりにはなりません。
5. PHP のワーカープロセスがシェルを起動したり、ツールをダウンロードしたりしていないか監視する。 CISA の SIGMA ルールが調査に役立ちます。

KEV の項目でフォレンジック調査が求められている以上、パッチ適用前に公開されていたサイトは、Web シェル、新しい管理者アカウント、不審な外部通信がないかも確認すべきです。修正版に更新しても、それ以前に侵入されていたかどうかは分かりません。

サポート対象のブランチへすぐに移行できないサポート終了済みの PHP をお使いの場合、RescuePHP が修正のバックポート、アップグレード計画、パッチ適用後の侵害調査をお手伝いします。