「PHP2Shell」汎用的なRCEは当面困難との分析 - 油断は禁物、他脆弱性との連鎖も

プログラミング言語「PHP」に別名「PHP2Shell」とも呼ばれる脆弱性2件が見つかった問題。幅広い環境でコードを実行する攻撃に脆弱性を悪用するには障壁があり、当面の影響は限定的との分析が出ている。一方、悪用が確認された別の脆弱性と組み合わせた攻撃のリスクも指摘されており、予断を許さない状況だ。

10月21日に認証を必要とすることなくリモートからコードを実行されるおそれがある脆弱性「CVE-2026-109618」「CVE-2026-109619」が公表されたことを受け、CrowdStrikeは、攻撃コードの開発状況や悪用の可能性を分析してレポートを取りまとめ、同月23日に公表した。

すでに「概念実証（PoC）」コードが公開され、攻撃への転用も観測されてはいるものの、同社が分析した「PoC」の多くは、実行してもプロセスのクラッシュにとどまり、コードの実行に至る汎用的な攻撃コードの開発までは達していないという。

実際の攻撃やハニーポット環境において、脆弱性の悪用に成功した事例を確認しておらず、探索やテスト、失敗に終わった悪用の試みにとどまるとしている。

「PHP」のバージョンや設定、実行環境、コンテナイメージなど、実行環境に応じた調整が必要であり、実際の攻撃に悪用するには技術的な障壁が存在すると指摘。現段階では幅広い環境で安定して動作する攻撃コードの開発は難しいと結論付けている。

（Security NEXT - 2026/10/29 ）ツイート