公表後に攻撃が急増

Cloudflareのマシュー・プリンスCEOは10月22日、PHPの脆弱性「php2shell」を悪用しようとする通信が同社ネットワークで急増していると公式Xで報告しました。公表前の10時間に数千件だった試行は、公表後45分で数万件、2時間以内に数十万件となり、投稿時点では数百万件に達したとしています。

Cloudflareは、ウェブへの不正な通信を防ぐWAFの保護ルールを、脆弱性の詳細情報が一般公開される前に適用したと説明しています。ただし、WAFは追加の防御であり、PHP本体の修正に代わるものではないため、注意が必要です。

PHP開発チームが修正版を公開

PHP開発チームは10月21日、緊急レベルの脆弱性2件（CVE-2026-109618、CVE-2026-109619）に対応する修正版8.2.35、8.3.36、8.4.27、8.5.12を公開しました。開発チームは、これらの修正版へ直ちに更新するよう推奨しています。

今回の脆弱性「php2shell」に対しては、各ITサービスが緊急メンテナンスを実施するなど対応が広がっています。ウェブサイト管理者は、PHP本体のアップデートを速やかに行うことが求められています。