10月23日・29日にお伝えしたPHPの脆弱性。11月2日の更新で、注意の対象に「VPN機器やセキュリティ機器の管理画面」が加わりました。
10月23日に「自院のホームページを動かしているPHP」、10月29日に「実際に悪用された一覧に載った」とお伝えした脆弱性の続報です。11月2日、IPAが注意喚起を更新し、PHPはホームページだけでなくVPN機器やセキュリティ製品の管理画面にも使われている、と影響範囲の説明を足しました。院内に置いてある機器の話になったので、何が変わったのかと、院内で何を確認できるかを整理します。
11月2日に足されたのは「製品・機器」の一文
IPAの注意喚起（2026年10月22日掲載）の更新履歴には、11月2日の更新として「『概要』に本脆弱性の影響を受ける可能性のある製品・機器について追記」とあります。足されたのは、PHPがVPN機器やセキュリティアプライアンス製品のウェブインターフェースなどでも使われているという説明と、自組織で使う製品・機器は開発者の脆弱性対策情報を確認し、対策が出たら適用してほしいという呼びかけです。脆弱性そのものや修正版の番号は変わっていません。変わったのは「どこを探すか」です。
機器が実際に狙われた報告も出ています
JPCERT/CCの注意喚起は10月29日に更新され、同日時点の報告として、ファイアウォール製品の特定バージョンへの侵害の成功を示唆する痕跡が確認されたこと、攻撃者がこの脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイトを開発していたとされること、内部ネットワークへ横に広がろうとした痕跡も報告されていることが書かれています。10月27日にはCISAの「実際に悪用された脆弱性」の一覧にも載りました。ただしIPAは同じ27日の更新で、国内での被害事例は把握していないとしています。
院内で確認できること
確認の相手は2つに分かれます。ひとつはホームページを置いているサーバーで、10月23日の記事のとおり、PHPを8.2.35・8.3.36・8.4.27・8.5.12のいずれか以降にできているかを制作会社に聞きます。もうひとつが今回足されたほうで、院内のUTM・VPN装置・ファイアウォール・NASなど、ブラウザで開く管理画面を持つ機器です。中のPHPを院内で入れ替えることはできませんので、保守契約先や導入業者に「この型番はPHP2shellの影響を受けるか、更新は出ているか」と型番を添えて聞いてください。
急いでも、やらないほうがよいこと
ファームウェアの更新は、資格確認端末やレセコンの通信が止まる時間帯を避け、業者と段取りを決めてください。自己判断で機器を初期化したり設定を戻したりするのは避けます。なお、PHP 8.1以前には修正版が提供されません。更新できない場合の緩和策も案内されていますが、JPCERT/CCは、緩和策は特定の攻撃経路にのみ対処するもので完全な対策はアップデートのみ、としています。自院の機器がどれに当たるか分からないときは、アイジェイネットでもご相談を承っています。
出典・確認元
- IPA：更新：PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)（2026年10月22日掲載、10月27日・11月2日更新。更新履歴に11月2日「『概要』に本脆弱性の影響を受ける可能性のある製品・機器について追記」とあること、PHPがVPN機器やセキュリティアプライアンス製品のウェブインターフェース等でも利用されている旨の追記、対象が8.2.35／8.3.36／8.4.27／8.5.12より前の各系統であること、10月27日更新でCISAのKEVカタログ掲載と国内での攻撃被害事例は把握していない旨が記載されていることを2026年11月5日に確認） ↗
- JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（2026年10月22日公開、10月29日最終更新。10月29日時点の報告としてファイアウォール製品の特定バージョンへの侵害の成功を示唆する痕跡、Linuxカーネルの権限昇格の脆弱性と組み合わせたエクスプロイト、内部ネットワークへの横展開の痕跡が記載されていること、PHP 8.1以前に修正版が提供されないこと、緩和策は特定の攻撃経路にのみ対処するもので完全な対策はアップデートのみと記載されていることを2026年11月5日に確認） ↗
情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。
編集方針・訂正について自分の環境について相談する ↗