ANTERAS ASMで、公開前から悪用の試みが観測されている脆弱性 PHP2Shell / CVE-2026-109618, CVE-2026-109619の影響調査が可能に

2026年10月21日、PHPにおける認証不要のリモートコード実行の脆弱性CVE-2026-109618、CVE-2026-109619 (通称：PHP2Shell) が公表されました*1。本脆弱性公表前後から、本脆弱性の悪用を試みた攻撃が多数観測されています。

2026年10月22日時点で、マクニカの提供するANTERAS Attack Surface Management（以下ANTERAS ASM）にて、本脆弱性の影響調査が可能となりました。ANTERAS ASM では、公開資産について、PHPの利用状況・利用バージョンを外部から調査し、本脆弱性の影響有無を評価します。調査では、単なるバージョンスキャンに留まらず、PHPの特性に応じて独自にカスタマイズした調査 (Linuxディストリビューションに応じたバックポート修正 *2 の考慮やHTTPレスポンスヘッダーのみに依存しないバージョン推定、等々) を実施します。
PHPは全Webサイトの約7割で使われているとされ、本脆弱性は、PHP製であるWordPress、Joomla、Drupalなど多数のWebシステムに影響を及ぼすとされています。

弊社の独自調査では、調査対象とした日本企業が保有するWeb資産のうち、使用するWebフレームワークを特定できた資産の約7割でPHPが利用されていることを確認しています。2026年10月22日午前時点で、PHPを利用する資産のうち、修正版以上のバージョン利用を確認できた資産は約2.5%に留まっています。

本脆弱性は、悪用・攻撃の詳細情報 (PoC) の公開状況から、いずれは悪用される可能性が高い脆弱性です。自組織での利用状況を調査したうえで、脆弱性の影響を受けるWebサイトが発見された場合、パッチ適用、侵害調査等の対処を実施してください。

*1 https://www.jpcert.or.jp/at/2026/at260033.html
*2 バックポート修正：Linuxディストリビューション（Red Hat Enterprise Linux、Ubuntu、Debianなど）が、PHPなどのソフトウェアのバージョン番号は変えずに、新しい版で行われたセキュリティ修正だけを取り込んで提供する方式です。この場合、ソフトウェアのバージョン番号が古くても、脆弱性が修正されていることがあります。

ANTERAS ASMの詳細はこちらをご覧ください。