2026年10月21日、PHPの開発チームは、認証なしで遠隔からコードを実行される恐れのある脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。「php2shell」とも呼ばれるこの脆弱性について、IPAは修正版が出る前の同日、PHPを使っているものの棚卸しを呼びかけています。パッチを当てる前に、どのシステムが対象かを決める作業がある。大企業ほど、この最初の問いに時間がかかります。
この記事の要点
- 重大な脆弱性への初動は、パッチを当てる前の「どこにあるか」の確認で時間を使う
- PHPの所在は、自社で管理するサーバー、委託先とSaaS、製品や機器の内部という3つの層に分かれる
- 初動を左右するのは台帳の完璧さより、層ごとの問い合わせ先と「不明」を判定する人が決まっているか
修正版が出る前から「棚卸し」が呼びかけられた
PHPの開発チームは10月20日、重大な脆弱性2件を直すセキュリティリリースを出すと予告しました。影響するバージョンや修正版の番号は、公開と同時に明らかにするという予告です。IPAはこれを受けて21日に「事前準備のお願い」を出し、開発・運用しているプログラムのうちPHPを使っているものを、可能な範囲で棚卸しするよう求めました。
公開された修正版の告知では、影響を受けるのはWebリクエストを処理するすべてのPHP環境とされ、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが挙がっています。完全な回避策はなく、更新だけが確かな選択肢だとも書かれました。対象が「PHPを使っているもの全部」なので、全体が見えていなければ、どこから更新するかの順番も決められません。
「影響はあるか」の答えは3つの層に分かれる
大企業のIT部門がこの問いに答えようとすると、PHPの所在は少なくとも3つの層に分かれます。
- 自社で管理するサーバー: 社内システム、Webサイト、キャンペーンサイト。台帳があっても、部門が個別に立てたサーバーや、役目を終えたまま動き続けているサイトが漏れやすい
- 委託先とSaaS: 開発や運用を委託しているシステム、レンタルサーバー、SaaS。PHPのバージョンを自社では確かめられず、相手の回答を待つことになる
- 製品と機器の内部: ネットワーク機器やアプライアンスの管理画面など。IPAは、製品や機器の内部でのPHPの利用状況は利用者側では把握できない場合があるとしている
1つ目の層は、自社の努力で確認の時間を縮められます。2つ目と3つ目には、相手の回答を待つ時間が加わります。初動が長引くのは、更新作業そのものより、この確認の往復のほうです。
古いバージョンが残っている場所は、段取りが変わる
今回、PHPの開発チームが修正版を出したのは、サポート中の8.2から8.5までです。PHP 8.1以前は開発チームの更新対象外で、ディストリビューションや長期サポートを提供するベンダーに修正の有無を確かめるか、サポート中の版へ移るよう案内されました。事態の重さを考えて7.4、8.0、8.1向けの最小限の修正ソースも出されましたが、自分でビルドする人向けのものです。IPAも、サポートが終わった古いPHPを使い続けているWebサイトが見受けられると書いています。
棚卸しで「PHPを使っている」と分かった後、更新で済むのか、移行が要るのかで作業量は大きく変わります。バージョンまで台帳に残っていれば、その日のうちに判断できる範囲が広がります。なお、PHP 8.2も2026年12月31日でサポートが終わると告知されています。
初動を速くするのは、台帳の完璧さより「聞く先」と「決める人」
台帳を完璧に仕上げてから次の脆弱性を待つ、というのは現実的ではありません。それより先に効くのは、次の2つが決まっていることです。
- 層ごとの問い合わせ先: 委託先、SaaS、機器ベンダーに、誰がどの窓口へ確認するか
- 判定の担当: 「影響あり」「影響なし」「不明」を誰が決め、「不明」をどう扱うか
「不明」のまま残るシステムは必ず出ます。確認がとれるまで外部から切り離すのか、監視を強めて待つのか。この扱いが事前に決まっていれば、判定を待つ間も手を止めずに済みます。ITmedia NEWSの報道によると、CERT-EUも、すぐに更新できない場合はインターネットに公開中のアプリケーションを外部ネットワークから切り離すことも検討するよう求めていました。
拠点とグループ会社の「見えない層」
本社のデータセンターやクラウドには台帳があっても、拠点や中小規模のグループ会社では、どの機器がつながっているか自体が分からないことがあります。重大な脆弱性への対応は、いちばん把握の薄いところで止まります。
当社のForceJOSYSは、オフィスのLANを継続して観測し、端末台帳を自動で作って更新していく、中小規模の事業所向けのIT運用支援サービスです。専任の情報システム担当者がいない拠点でも、「何がつながっているか」に答えられる状態を作ります。透過型UTMのForceUTMには、同意を得た公開アドレスのTCPポートを点検し、外部からどこが見えているかを確かめる機能があります。
次の脆弱性までに確かめておくこと
- 共通部品の所在を書き出す: 3つの層それぞれで、PHPのような共通の部品がどこで使われているかを、分かる範囲で書き出す
- 問い合わせ窓口と期限を決める: 委託先・SaaS・機器ベンダーごとに、緊急時の問い合わせ先と回答の期限を決めておく
- 「不明」の扱いを決める: 判定できないシステムを切り離すのか、監視を強めるのかを、判断する人と一緒に決めておく
- バージョンとサポート期限を残す: 台帳にバージョンとサポート期限を残し、期限切れが近いものから洗い出す
参考資料
拠点とグループ会社の「見えない層」を減らす
拠点や中小規模のグループ会社の端末台帳づくり、外部から見えている場所の点検についてご相談ください。
製品の詳細はForceJOSYSのサイト、ForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・