世間から完全に隔離された生活を送っているのでない限り、CVE-2026-109618とCVE-2026-109619という簡潔な名前のセキュリティレポートに関するニュースを目にしているでしょう。メディアでは、「The PHP Apocalypse」という通称で、事情通の間では「PHP2Shell」として広く知られています。CVSS v4.0のスコアで10点満点中9.2と評価されており、まさに「これ以上ないほど最悪な欠陥」と言っても過言ではありません。
PHP2Shellの脆弱性とは
この脆弱性を突かれると、攻撃者はPHPを実行しているWebサーバー上で任意のコードを意のままに実行できるようになります。深刻度スコアが極めて高い理由は、現在インターネット上のWebサイトの推定70%が、この影響を受けるバージョンのPHP上で稼働しているという事実にあります。では、PHP2Shellの影響を受けるPHPのバージョンは？
その答えは、「ほぼすべて」です。特に、アプリケーションの実行基盤にPHPを採用しているWordPressを利用しているサイトは直撃を受けます。ブログサイトに限らず、多くのWebサイトがバックエンドでWordPressを採用しています。このブログはもちろん、弊社の関連サイトのいくつかにも当てはまります。
PHP2Shellの脆弱性はどのように発見されたのか？
この脆弱性は、OpenAIをはじめとするAIエージェント連合（Coalition of AI agents）によって発見されました。脆弱性が発見されたこと自体も幸いですが、すでに「PHP2Shell」向けのPHP公式パッチが提供されており、CloudFlareが悪意ある攻撃者からの悪用を防ぐ保護対策を迅速に提供してくれたことはさらに喜ばしいことです。とはいえ、エンバカデロやアイデラの一部のサーバーを含め、世界中のITチームがパッチ適用に追われる中で、しばらくの間は多くのWebサイトで「ちょっとした不具合や問題」を目にすることになるでしょう。
エンバカデロがPHP2Shellに対して行っている対策
アイデラグループのITチームは、影響を受ける可能性のあるすべてのサーバーへのパッチ適用を進めています。さらに、サーバー保護にCloudFlareを利用しており、CloudFlareの緩和ルールによる保護の恩恵も受けています。インターネット上の悪意ある人々から「当社のサーバーは100%安全だ」と断言してしまうようなIT管理者がいればそれは無謀ですが、私たちは状況を完全に把握しており、利用可能なあらゆる助言とベストプラクティスに従っています。
ご自身でWebサイトやブログを運営していて、まだパッチを適用していない方は、今すぐ他の作業の手を止めて最優先で対応することを強くお勧めします。Webスタックの古さやサーバーの最新状態によって多少の差はあれど、大半のケースにおいてアップデート作業自体は極めてシンプルです。いずれにせよ、私たちは皆さん自身のセキュリティを、私たち自身のセキュリティと同じくらい大切に考えています。
この状況下で、Delphiはネイティブコードにコンパイルされるため、本質的にセキュリティが高く、WebStencilsがWebコンテンツの処理にPHPを使っていないことを強調しようとは思いません。PHPは信頼性が高く、多くの人々に愛されてきた素晴らしい言語であり、その評価は正当なものです。
今回の件はPHP自体に非があるというわけではありません。何十年もの間、水面下で眠っていた欠陥をあぶり出すには、AIによる大規模かつ組織的な探査が必要でした。問題発覚直後に迅速に動き、速やかにパッチをリリースしたPHP開発チームの素晴らしい対応に、心からの賛辞を贈りたいと思います。
Ian Barker
本稿は、Ian Barker氏のブログ記事「The PHP Apocalypse」の抄訳です。
Reduce development time and get to market faster with RAD Studio, Delphi, or C++Builder.
Design. Code. Compile. Deploy.
Free Delphi Community Edition Free C++Builder Community Edition
