Webサイトの構築や運営に広く使われているプログラミング言語「PHP」の深刻な脆弱性をめぐり、悪用を試みる通信が急増している。米国のCloudflare マシュー・プリンスCEOは10月22日、同社のネットワークで観測された攻撃試行について、

脆弱性の公表前は10時間で数千件だったものが、公表後45分で数万件、

2時間以内に数十万件へ増加し、その後、数百万件に達したと明らかにした。

問題となっているのは「php2shell」と呼ばれる脆弱性だ。

PHP開発チームは10月21日、深刻な脆弱性2件を修正したバージョンを公開し、利用者に速やかな更新を呼び掛けている。攻撃が成功した場合、サーバー上で不正なプログラムを実行され、Webサイトの改ざんや情報流出などにつながる恐れがある。

ただし、今回報告された数百万件という数字は、攻撃を試みる通信の件数だ。

数百万件のWebサイトが被害に遭ったことを示すものではない。

▪️公表直後から攻撃試行が急増　CloudflareのCEOが報告

Cloudflareは、Webサイトへのアクセスを中継し、不正な通信の検知や遮断などを提供するインターネットインフラ企業だ。

プリンスCEOは10月22日、公式Xへの投稿で、同社のネットワーク上で観測されたphp2shellの悪用試行について説明した。脆弱性が一般に公表される前の10時間には数千件だった攻撃試行が、公表後45分で数万件、2時間以内には数十万件に増加し、投稿時点では数百万件に達したという。

こうした急増の背景には、脆弱性の情報が公開されると、攻撃者が弱点を持つサーバーを探し始めるというサイバー攻撃の特徴がある。

攻撃者は、脆弱性の仕組みを分析し、対策が済んでいないサーバーを見つけようとする。攻撃を自動化するプログラムが使われれば、短時間で大量の接続先に対して攻撃を試みることも可能になる。

今回の数字は、脆弱性が公表された直後から、インターネット上で防御側と攻撃側の対応が急速に進んでいることを示している。

▪️php2shellとは何か 認証を突破しなくても攻撃される恐れ

今回の脆弱性は、PHPの内部処理に存在する問題を利用し、条件によっては外部からサーバー上で任意のコードを実行できるというものだ。

PHP開発チームは、2026年10月21日付の公式発表で、2件の脆弱性について、認証されていない攻撃者によるリモートコード実行につながる可能性があると説明した。

リモートコード実行とは、攻撃者が遠隔地からサーバーに命令を送り、サーバー側でプログラムを実行させることを指す。通常、サーバーの管理者権限や正規のログイン情報がなければ実行できない処理でも、ソフトウェアの弱点を突くことで、不正に実行される恐れがある。

今回の問題では、メモリ不足に陥った際の処理と、リクエストの終了後に内部状態が適切にリセットされない問題という、2つの弱点が確認された。

簡単に言えば、プログラムが作業途中で停止したときの後始末や、前の作業で使った情報を消去する処理に問題がある。攻撃者が特定の条件を満たす通信を送り込むと、こうした不備を利用してサーバーの処理を不正に動かせる可能性がある。

PHP開発チームは、Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理する複数の実行環境を対象として挙げている。特にmod_phpについては、アプリケーションのコードが実行される前に攻撃を引き起こす手法が実証されたとしており、警戒が必要だ。

▪サイバーテロ️攻撃が成功すると何が起きるのか!?

脆弱性が悪用された場合、サーバーの構成や実行権限によって、

さまざまな被害が発生する可能性がある。

例えば、攻撃者がWebサイトのファイルを書き換えられる状態になれば、ページの改ざんや不正なプログラムの設置につながりかねない。また、サーバーからデータベースにアクセスできる場合には、保存されている顧客情報や会員情報などが狙われる恐れもある。

さらに、侵入したサーバーを別のサイバー攻撃の足掛かりにしたり、

追加の不正プログラムを設置したりする可能性も考えられる。

ただし、これらは脆弱性が悪用された場合に想定される被害であり、

Cloudflareが報告した攻撃試行の件数だけで、

実際の侵入や情報流出の規模を判断することはできない。

▪️CloudflareはWAFによる防御を展開 それでも更新が必要

Cloudflareは10月21日付の公式ブログで、今回の脆弱性に対応するため、WAFによる防御を展開したと発表した。WAFは「Web Application Firewall」の略称で、Webサイトに送られる通信を検査し、攻撃と判断した通信を遮断する仕組みだ。

同社は、無料プランを含む対象環境に保護を展開したと説明している。

また、一般公開の約9時間前から防御策を導入していたという。

WAFが適切に機能すれば、脆弱性を狙う通信をサーバーに到達する前に遮断できる場合がある。しかし、WAFはすべての攻撃を確実に防げるわけではなく、

PHP本体の脆弱性を修正するものでもない。

PHP開発チームは、次の修正版を公開している。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

公式発表では、完全な代替策はなく、

修正版への更新が安全を確保するための唯一の選択肢だとしている。

▪️WordPress運営者も要確認サイト本体とPHPは別々に管理

PHPは、WordPressをはじめとする多くのWebサイトの動作を支えている。

そのため、WordPress本体やプラグインを最新にしていても、

サーバー側のPHPが古いままであれば、

今回の脆弱性への対応が完了しているとは限らない。

サイト運営者は、契約しているレンタルサーバーの管理画面などでPHPのバージョンを確認し、修正版が適用されているかを調べる必要がある。

レンタルサーバーによっては、管理画面からPHPのバージョンを変更できる。

ただし、古いプログラムとの互換性などに注意が必要なため、

事業者の公式案内に従って作業することが重要だ。

また、PHPのバージョンが確認できない場合や、自動更新の対象か分からない場合は、サーバー事業者に問い合わせる方法もある。

Webサイトが普段どおり表示されていることだけでは、安全性を判断できない。