PHP2Shell - finm137.wiki【10/22更新】

PHP2Shell

概要

PHP2Shell（ピーエイチピーツーシェル）とは、2026年10月に公表されたPHP本体の重大なセキュリティ脆弱性の通称である。

対象となる脆弱性は「CVE-2026-109618」と「CVE-2026-109619」の2件で、いずれもCVSS v4.0で9.2という深刻度が付けられた。

攻撃者がログインせずにWebサーバー上で任意のコードを実行できる可能性があり、世界各地で緊急アップデートや予防的なサービス停止が行われた。

PHPはWordPress、MediaWiki、Drupal、Joomlaなど多数のWebシステムに使用されているため、影響は特定のサイトにとどまらない。

発覚から緊急対応まで

2026年10月

10月17日：Amazonの脅威分析環境で、後にPHP2Shellと関連付けられる攻撃試行が検出されたと報告された。

10月20日：正式な調整済み公開に先立ち、脆弱性に関する情報が流出。
10月21日：PHP開発チームが緊急修正版を公開。

10月22日：世界各地で攻撃試行、アクセス制限、サービス停止、復旧作業などが報じられた。

PHP本体に存在していた問題が明らかになったことで、個別のWebサイトだけでなく、共通の基盤技術を利用する多数のサービスが対応を迫られた。

脆弱性の仕組み

CVE-2026-109618

PHPのメモリ不足時の処理に関する脆弱性。

処理が途中で中断された際、不完全な内部データが適切に扱われず、メモリ破壊やリモートコード実行につながる可能性がある。

CVE-2026-109619

PHPの内部状態と解放済みメモリの扱いに関する脆弱性。

過去のリクエストに由来する不正な参照が残り、後続のリクエストで利用されることで、メモリへの不正アクセスやコード実行につながる可能性がある。

危険性

認証なしで攻撃される可能性がある
Webサーバー上で任意のコードを実行される恐れがある
情報漏洩やサービス停止につながる可能性がある
PHP本体の問題であるため、WordPressのプラグイン更新だけでは解決しない

影響を受けるサービス

PHPを利用するWebサイトやWebアプリケーションが影響対象となる。

代表的なPHP利用ソフトウェアには、以下のものがある。

WordPress
MediaWiki
Drupal
Joomla
phpBB
Magento
Laravel

これらのソフトウェアを利用していることだけで、実際に侵害されたと判断できるわけではない。

影響はPHPのバージョン、サーバー構成、更新状況などによって異なる。

対策

PHP開発チームは、以下の修正版を公開した。

PHP系列	修正版
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

PHP 8.1以前は公式サポートが終了しており、利用環境によってはディストリビューション提供の修正パッケージなどを確認する必要がある。

Webサイト管理者には、PHP実行環境の更新、アクセスログの調査、必要に応じた一時的なアクセス制限が推奨されている。

バタフライエフェクトとの関連

PHP2Shellは、バタフライエフェクトを連想させるインターネット規模の連鎖的影響を引き起こした事件として考察できる。

バタフライエフェクトとは、初期条件の小さな違いが、複雑なシステムにおいて将来の大きな変化につながり得るという概念である。

PHP2Shellでは、共通のプログラム内部に存在する問題が、多数の独立したWebサイトやサービスの運用に影響した。

連鎖の例

1. PHP本体に存在する脆弱性が発見される
2. 情報が正式公開前に流出する
3. 攻撃への警戒が急激に高まる
4. 世界各地の運営者が緊急更新を開始する
5. 一部サービスが予防的に停止する
6. 利用者がアクセス障害を経験する

厳密には、これはカオス理論のバタフライエフェクトそのものというより、共通基盤への依存による連鎖的リスク、あるいはシステミックリスクの事例に近い。

日本のWiki文化との関連

日本では@wiki、WIKIWIKIなど、さまざまなWikiサービスが利用されている。

2026年10月22日には、finm137wikiの利用者から、@wiki上のページを閲覧でき、ログイン状態や編集ボタンも表示されていることが確認された。

このことは、少なくとも当該時点でそのページの閲覧が可能だったことを示している。

ただし、@wiki全体がPHP2Shellの影響を受けなかったことや、すべての機能が正常だったことを証明するものではない。

インターネットミームとの関連

野獣先輩

finm137wikiの管理者アイコンには、野獣先輩を連想させるシルエットが使用されている。

PHP2Shell騒動のなかでも同Wikiが表示されたことから、冗談として「野獣先輩だけ生き残った」「PHP騒動を生き延びた男」などと表現できる。

これは当該Wikiの表示状況を題材にしたミーム的な解釈であり、実際の脆弱性の原因や技術的な対策とは無関係である。

しぐれうい

PHP2Shellの実証映像として共有された画像には、画面左側にしぐれういを思わせる小さなキャラクターが映り込み、右側には「Not Found」と表示されたWebブラウザが確認できる。

映像にキャラクターが登場する理由は、撮影者のデスクトップ装飾、配信・動画素材、別のアプリケーションの表示などが考えられるが、画像だけでは特定できない。

キャラクターの登場自体がPHP2Shellの技術的な仕組みを示すものではない。

関連項目

PHP
WordPress
MediaWiki
サイバー攻撃
ゼロデイ脆弱性
リモートコード実行
バタフライエフェクト
野獣先輩
しぐれうい
finm137wiki

外部リンク

PHP公式サイト

カナダ・サイバーセキュリティセンターの注意喚起

Cloudflareによる技術解説

NCSC-NLのPHP2Shell情報

Ars Technicaの報道