PHP2Shell脆弱性でAIを使った侵入後攻撃を確認！CVE-2026-109618・109619はCVSS 9.2、欧州政府機関で認証情報にアクセス・2,260万超の公開インスタンスに潜在的リスク

2026年10月23日、Palo Alto Networksの脅威調査チームUnit 42は、PHPの重大な脆弱性「PHP2Shell」に関する最新情報を公開しました。対象となるCVE-2026-109618とCVE-2026-109619はいずれもCVSS 4.0で9.2と評価されるリモートコード実行（RCE）の脆弱性です。

特に注意が必要なのは、PHPを使用するWebサーバー、CMS、インターネット公開システムを管理する企業や組織です。Unit 42は、エージェント型AIを利用した侵入後の攻撃活動を観測しており、欧州の政府機関が標的となった事例では、初期侵害から2時間以内にパスワードハッシュや多要素認証（MFA）の秘密情報へのアクセスが確認されています。

また、Cortex Xpanseの観測データでは、これらの脆弱性の影響を受ける可能性があるインターネット公開インスタンスが2,260万を超えています。管理者はPHPの使用状況と影響範囲を確認し、PHP Groupのセキュリティ勧告に従って速やかに修正を適用することが推奨されています。

PHP2Shellとは？2件の重大なPHP脆弱性の概要

PHP2Shellは、PHPに存在するCVE-2026-109618とCVE-2026-109619という2件のリモートコード実行脆弱性の呼称です。

両方ともメモリ管理とエラー処理に関連しており、特定の異常状態が発生した際に、不適切なメモリ参照や処理の流れが生じることが問題となっています。

Unit 42は、これらの脆弱性について概念実証コード（PoC）の存在を確認しています。PoCは脆弱性を実証するためのコードであり、その存在は攻撃手法を検証できる段階にあることを示しています。

項目	CVE-2026-109618	CVE-2026-109619
対象	PHP	PHP
通称	PHP2Shell	PHP2Shell
脆弱性の種類	リモートコード実行（RCE）	リモートコード実行（RCE）
深刻度	CVSS 4.0：9.2	CVSS 4.0：9.2
原因	メモリ不足時のlongjmp()によるエラー処理と制御フローの不備	longjmp()による致命的エラー処理後の解放済みメモリ参照
想定される影響	攻撃者による任意コード実行	攻撃者による任意コード実行
推奨対応	影響範囲の確認と修正の適用	影響範囲の確認と修正の適用

PHPは世界中のWebサーバーやコンテンツ管理システムで広く使用されているため、影響調査では公開Webサイトだけでなく、その背後で動作するPHP実行環境も確認する必要があります。

CVE-2026-109618の原因と影響

CVE-2026-109618は、PHPがメモリ不足（Out-of-Memory：OOM）を処理する際の制御フローに問題がある脆弱性です。

PHPのエラー処理ではlongjmp()が使用されますが、メモリ不足が発生した場合にリクエスト用メモリが適切に初期化されない状態が残ることがあります。

Unit 42によると、攻撃者はメモリ不足状態を引き起こすことで、この不整合を悪用し、リモートコード実行につなげられるとされています。

重要なのは、単なるメモリ不足によるサービス停止ではなく、メモリ不足時の不適切なエラー処理が任意コード実行につながる可能性があるという点です。

CVE-2026-109619の原因と影響

CVE-2026-109619もPHPのエラー処理に関係するリモートコード実行脆弱性ですが、問題となるメモリ状態が異なります。

この脆弱性では、longjmp()を使った致命的エラーの処理後に、グローバルメモリが解放済みのメモリ領域を指したままになる場合があります。

その後のリクエストで、この領域が読み取られたり、プログラムの分岐判断に使われたりすることによって、攻撃者が任意のコードを実行できる可能性があります。

両脆弱性には共通する技術要素がありますが、CVE-2026-109618はメモリ不足時の初期化不備、CVE-2026-109619は解放済みメモリへの参照が中心的な問題です。

エージェント型AIを使った侵入後攻撃をUnit 42が確認

2026年10月23日の更新で特に注目されるのが、エージェント型AIを利用した攻撃活動についての追加情報です。

エージェント型AIとは、目標に応じて操作を組み立て、結果を確認しながら次の処理を進めるAIシステムを指します。

Unit 42の研究者は、侵害されたシステムに対する調査や操作に、このような仕組みを使用しているとみられる攻撃活動を観測しました。

欧州政府機関で2時間以内に認証情報へアクセス

Unit 42が報告した事例では、欧州の政府機関が攻撃対象となり、初期侵害から2時間以内に攻撃者がパスワードハッシュと多要素認証の秘密情報へのアクセスに成功しています。

さらに、Active Directoryに対するNT LAN Manager（NTLM）リレーのトンネルを確立し、Domain Admin権限への昇格を試みたことも確認されています。

Domain AdminはActive Directoryドメインに対する高度な管理権限を持つアカウントです。この権限が侵害されると、ドメイン全体への影響が拡大するおそれがあります。

ただし、取得テキストではDomain Admin権限への昇格を「試みた」と説明されており、昇格に成功したとは記載されていません。

AIによる操作を示唆するコマンド実行の特徴

Unit 42が確認した攻撃では、侵害されたエンドポイントに対して複数の調査コマンドが実行されていました。

特徴的だったのは、各コマンド群の出力が「==SHELLUSER==」や「==PASSWD==」といった区切り文字で整理されていたことです。

これらの区切り文字によって、出力結果をAIモデルが機械的に読み取りやすい形式に変換できます。

研究者は、短い間隔で連続するタスク実行や、失敗後に素早く別の操作へ切り替える動作も確認しています。

こうした特徴を総合し、Unit 42はエージェント型AIを利用した攻撃者の強い指標であると分析しています。

なお、取得テキストでは、この欧州政府機関の事例における攻撃者の詳細な身元や、使用されたAIモデルの名称までは示されていません。

2,260万超の公開インスタンスに潜在的な脆弱性リスク

Unit 42によると、Palo Alto NetworksのCortex Xpanseは、公開時点でCVE-2026-109618とCVE-2026-109619の影響を受ける可能性があるインターネット公開インスタンスを2,260万超確認しています。

この数値は、2,260万件の侵害や攻撃成功を意味するものではありません。あくまで観測データに基づいて脆弱性の影響を受ける可能性があると判定された公開インスタンス数です。

また、少なくとも1つの欧州政府が予防措置としてWebサイトを停止したことも報告されています。

PHPを使用する組織では、インターネットからアクセスできるサーバーを優先して調査し、該当するPHP実行環境の修正を進める必要があります。

PHP2Shellの確認方法と管理者が実施すべき対策

Unit 42は、影響を受けるシステムの特定と、PHP Groupのセキュリティ勧告に基づく迅速な修正を推奨しています。

具体的には、以下の順番で確認すると対応状況を整理できます。

1. 公開Webサーバー、CMS、アプリケーションサーバーなどでPHPを使用しているシステムを洗い出す。
2. 各システムのPHPバージョンと実行環境を確認し、PHP Groupのセキュリティ勧告に記載された影響範囲と照合する。
3. 影響を受ける環境について、公式の修正指針に従って更新を実施する。
4. コンテナイメージやCI/CDパイプラインに古いPHPコンポーネントが残っていないか確認する。
5. Webサーバーおよびエンドポイントのログを調査し、不審なコマンド実行や認証情報へのアクセスがないか確認する。
6. 侵害が疑われる場合は、関連する証跡を保全したうえでセキュリティ対応担当者にエスカレーションする。

今回の取得テキストには、修正済みPHPの具体的なバージョン番号は記載されていません。そのため、特定のバージョンを安全と断定せず、PHP Groupが提供する最新のセキュリティ勧告で確認してください。

なお、ファイアウォールや検知製品による防御はリスク低減に役立ちますが、脆弱なPHP自体の修正を置き換えるものではありません。

Palo Alto Networks製品で利用できる検知・防御機能

Palo Alto Networksは、PHP2Shellに関して複数の製品による検知、影響調査、防御機能を案内しています。

Cortex XDR・XSIAM

Cortex XDRとXSIAMは、多層的な保護によって侵害後の攻撃活動を検知・防御するための機能を提供します。

Cortex XDRでは、エンドポイントやサーバーに導入されたソフトウェアの可視化が可能で、オンプレミスやレガシー環境を含むPHPの使用状況の把握と修正優先順位の判断に役立ちます。

Unit 42のManaged Threat Huntingチームは、これらのCVEを悪用する試みを継続して追跡しており、Cortex XDR向けのXQLクエリによる攻撃兆候の調査も案内しています。

Cortex Cloud・Prisma Cloud

Cortex CloudとPrisma Cloudは、コード、レジストリ内のイメージ、実行中の環境に存在する脆弱なPHPバージョンの特定を支援します。

Cortex CloudのSupply Chain Attacks Portalでは、影響を受ける資産の特定と、脆弱なコンポーネントの再混入防止に利用できる情報を提供します。

Cortex CLIをCI/CDパイプラインに組み込むことで、脆弱なイメージがレジストリや実行環境へ投入される前にスキャンし、ポリシーによってブロックする運用も可能です。

Cortex Xpanse

Cortex Xpanseは、インターネットに公開されている機器やサービスを特定し、管理者にリスクを通知するための機能を提供します。

今回の脆弱性については、PHP Attack Surface Ruleが有効になっていることを確認するよう案内されています。

検出された情報はThreat Response CenterまたはExpanderのインシデント画面から確認できます。

ASMモジュールを購入しているCortex XSIAM利用者も、該当する検出情報を利用できます。

Next-Generation Firewallの防御シグネチャ

Next-Generation Firewallでは、対応するセキュリティサブスクリプションを通じて攻撃のブロックを支援する機能が提供されています。

Advanced Threat Prevention Plus with Frontier Virtual Patchingでは、2026年10月20日午後10時21分（米国太平洋時間）からThreat ID「543004」による対策が提供されています。

Advanced Threat Preventionでは、2026年10月21日から、推奨設定を適用した環境向けにシグネチャ「543004」「97622」「97623」「97624」「97625」が案内されています。

該当する製品を利用している場合は、サブスクリプションの適用状態、シグネチャの更新状況、防御設定を確認してください。

侵害の疑いがある場合に確認したい攻撃兆候

今回の報告では、侵害後に認証情報の取得やActive Directoryへの侵入を試みる動作が確認されています。

そのため、脆弱なPHP環境が確認された場合は、更新作業と並行して侵害の有無を調べることが重要です。

特に、Webシェルを経由した予期しないコマンド実行、システム利用者やパスワード関連情報の調査、不審な認証情報へのアクセス、NTLMリレーに関連する動作、Domain Admin権限への昇格試行などは、調査対象となります。

また、コマンド出力に「==SHELLUSER==」「==PASSWD==」のような機械処理用の区切り文字が含まれていないかも、今回の事例に関連する手掛かりの一つです。

ただし、これらの文字列だけでAIによる攻撃やPHP2Shellの悪用を断定することはできません。実行プロセス、アクセス元、時系列、認証ログなどを組み合わせて判断する必要があります。

パスワードハッシュやMFAの秘密情報への不正アクセスが疑われる場合は、影響範囲を調査し、認証情報の再発行や認証基盤の確認について組織のインシデント対応手順に従って判断してください。

よくある質問（FAQ）

Q. PHP2Shellの深刻度はどれくらいですか？

両脆弱性ともCVSS 4.0で9.2と評価されています。任意コード実行につながる可能性があるため、PHPを使用するシステムの管理者は優先的に影響範囲を確認する必要があります。

Q. PHP2Shellの攻撃コードは公開されていますか？

Unit 42は概念実証コード（PoC）の存在を確認しています。ただし、取得テキストでは公開場所や具体的な実行方法までは説明されていません。

Q. AIを使った実際の攻撃は確認されていますか？

Unit 42はエージェント型AIの利用を強く示唆する侵害後の攻撃活動を観測しています。欧州政府機関を標的とした事例では、初期侵害から2時間以内の認証情報へのアクセスや、Active Directoryに対する攻撃活動が報告されています。

Q. 2,260万台のサーバーが侵害されたということですか？

いいえ。2,260万超という数字は、Cortex Xpanseの観測により脆弱性の影響を受ける可能性があるとされた公開インスタンス数です。実際に侵害された台数を示すものではありません。

Q. どのPHPバージョンへ更新すればよいですか？

今回の取得テキストには、修正済みバージョンの具体的な番号はありません。PHP Groupの公式セキュリティ勧告と更新指針を参照し、使用環境に適した修正を適用してください。

Q. Palo Alto Networksのファイアウォールを使用していれば更新は不要ですか？

いいえ。対応する防御シグネチャは攻撃のブロックを支援しますが、Unit 42はPHPの影響調査と速やかな修正を推奨しています。防御機能の利用とPHP自体の更新を組み合わせることが重要です。

まとめ：PHP2Shellは迅速な修正と侵害調査が重要

2026年10月23日に更新されたUnit 42の報告では、PHP2Shellと呼ばれる2件の重大なリモートコード実行脆弱性に加え、エージェント型AIを利用した侵害後の攻撃活動が詳しく説明されました。

特に、欧州政府機関の事例において初期侵害から2時間以内に認証情報へアクセスされた点は、侵害後の展開が短時間で進む可能性を示しています。

PHPを利用する組織が優先すべき対応は、公開環境を中心とした影響資産の特定、PHP Groupの公式勧告に基づく修正、そして認証情報への不審なアクセスや侵害後の活動に関する調査です。

Cortex XDR、Cortex Cloud、Prisma Cloud、Cortex Xpanse、Next-Generation Firewallなどの対応製品を利用している場合は、製品ごとの検知・防御機能も併用してリスク低減を進めてください。

参考情報

本記事は、Palo Alto Networks Unit 42が2026年10月23日に公開・更新した「Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 23)」に記載された情報をもとに整理しています。

修正内容や製品別の対応状況については、PHP Groupのセキュリティ勧告、およびPalo Alto Networksの製品セキュリティアドバイザリを確認してください。