PHP2Shellの実侵害をUnit 42が独立確認｜Dream調査で25台の権限奪取を報告

「PHP」の脆弱性情報（CVE-2026-109618 / CVE-2026-109619）。影響バージョンはPHP本体の未修正系列：8.2.34以下／8.3.35以下／8.4.26以下／8.5.11以下、および8.1以前の旧系列。実侵害が報告・検証された構成はPHP 8.0.30を組み込む一部のファイアウォール管理画面。OS・機器メーカーのバックポート適用済み版は個別確認。。修正版 PHP 8.2.35／8.3.36／8.4.27／8.5.12以上、またはOS・機器メーカーの修正済みパッケージ への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

PHP（PHP実行環境）

CVE

CVE-2026-109618 / CVE-2026-109619

CVSS / 深刻度

9.2 / Critical

影響バージョン

PHP本体の未修正系列：8.2.34以下／8.3.35以下／8.4.26以下／8.5.11以下、および8.1以前の旧系列。実侵害が報告・検証された構成はPHP 8.0.30を組み込む一部のファイアウォール管理画面。OS・機器メーカーのバックポート適用済み版は個別確認。

修正版

PHP 8.2.35／8.3.36／8.4.27／8.5.12以上、またはOS・機器メーカーの修正済みパッケージ

脆弱性種別

PHP本体の未認証RCE実侵害確認（PHP2Shell：メモリ処理不備・解放済み状態参照）

脆弱性の概要

PHP2Shell（PHP本体のCVE-2026-109618／CVE-2026-109619）について、10月29日に新しい実侵害の裏付けが公表されました。Dream Researchは10月26日、10月23〜24日にインターネット公開されたファイアウォール管理画面等を足掛かりに、攻撃者がPHP2Shellと別のOS権限昇格の欠陥を連鎖させ、合計25台でroot権限を得たと報告。10月29日、Palo Alto NetworksのUnit 42は同一攻撃者のツールを独立に検証し、Dreamの報告結果を確認したと公式に発表しました。これは従来の検証用サーバーでの35件のシェル起動やCISA KEV認定から、実際の製品環境での侵害確認へ進んだ重大な状況変化です。ただし25台はDreamによる調査値であり、WordPressサイト25件の被害ではありません。10月25日にUnit 42が撤回した欧州政府機関の別事件とは異なる事例です。

技術的な内容

Dream Researchの一次調査では、攻撃はPHP 8.0.30を組み込む一部のPAN-OS 12.1／12.2の公開管理インターフェースを狙い、未認証のPHP実行環境のメモリ処理不備を突いてまずWebサーバー権限でコード実行し、その後はPHP以外のOS権限昇格を連鎖させてroot権限に達したとされます。24台のファイアウォールと内部の管理サーバー1台、計25台が侵害されたとする調査で、内部ネットワークへの持続的な接続や認証情報へのアクセスも報告されています。10月29日付Unit 42の独立確認は攻撃ツールおよび報告された結果に対するもので、PHP2Shellの実際の悪用を公式に認めています。事件はPHP本体の既知の2件に関する続報であり、新しいPHPのCVEでもWordPressプラグインの欠陥でもありません。攻撃成功は特定の組み込みPHP環境・公開管理画面で確認されたもので、一般のWordPress／PHP-FPMサイトすべてに同じ攻撃手法や成功率が当てはまるとは示されていません。出典の2026年10月25日付Unit 42撤回は欧州政府機関の別件に関するものであり、今回の10月29日確認と混同しません。

悪用状況

実攻撃を確認

推奨対応

未修正のPHP実行環境を棚卸しし、対応するPHP 8.2.35／8.3.36／8.4.27／8.5.12以上、またはOS・機器メーカーが両CVEを修正したと確認できるバックポート済みパッケージへ更新してください。Apache mod_php、PHP-FPM、php-cgi、LiteSpeed等は実稼働の版を確認し、更新後に必要なワーカー再起動と基本動作確認を行います。PHP 8.1以前は公式サポート終了のため移行を優先し、旧系列を組み込む機器は独自にPHPだけを差し替えず製造元の修正を適用してください。管理画面をインターネットに直接公開しないでください。10月17日以前を含む可能な期間のWeb/PHP/プロセス・ファイル変更ログを保全し、Web実行ユーザーからのシェル起動、不審な外部通信、管理者アカウント追加、バックドア設置を調査してください。侵害兆候があれば隔離と証拠保全を優先します。WAFの導入やWordPress本体の更新だけではPHP本体の修正の代わりになりません。

情報源

• PHP開発元（一次情報：2026-10-21の脆弱性2件と修正版）
• Palo Alto Networks Unit 42（一次情報：2026-10-29、実悪用確認とDream調査結果の独立検証）
• Dream Research（一次調査：2026-10-26公表・10-29更新、実侵害25台の分析）
• Palo Alto Networks公式セキュリティアドバイザリ（2026-10-29更新、実攻撃状況と緩和）
• CISA KEV（2026-10-26：CVE-2026-109618と109619を登録）
• The Register（2026-10-29：Unit 42独立検証の報道）

情報確認日時：2026年10月30日 13:03

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。