Theori、PHPの深刻な脆弱性「PHP2Shell」を検証し、緊急対応ガイドを公開

Webサイト開発で最も広く使われている言語PHPの本体に存在する脆弱性（CVE-2026-109618／109619）。認証不要でリモートからのコード実行が可能で、深刻度は「Critical」

AIを活用したオフェンシブセキュリティ企業のTheori（代表：Brian Pak）は、最近公開されたPHPの深刻な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について自社環境での再現・検証を完了し、企業・組織向けの緊急対応ガイドを公開したことを発表しました。

今回公開されたPHP2Shellは、Webアプリケーションの実装内容にかかわらず、PHP本体の欠陥に起因する脆弱性です。攻撃者は認証を経ることなく、リモートから任意のコードを実行してサーバーを掌握したり、プロセスメモリの内容を読み取ったりすることが可能です。CVSS v4.0のベーススコアは9.2（Critical）と評価されており、影響は極めて大きいとみられます。

特に、PHPプロジェクトによる公式セキュリティアドバイザリの公開に先立ち、概念実証（PoC）のデモ動画とパッチ適用済みのバイナリが流出し、これをもとにしたPoCが急速に拡散していることから、企業には迅速な対応が求められています。Theoriの研究チームは、攻撃コードを独自に再現・検証する過程で、他の攻撃者が同様のエクスプロイトを作成・拡散するのも時間の問題だと分析しています。

影響を受けるのは、PHP 8.2.35、8.3.36、8.4.27、8.5.12より前のバージョン、およびサポートが終了したPHP 8.1以前のバージョン（7.x、5.xを含む）です。PHPプロジェクトは、修正版（8.2.35、8.3.36、8.4.27、8.5.12）への速やかなアップデートを強く推奨しています。

Theoriは、パッチ適用が唯一の根本的な対策であるとしたうえで、すぐにPHPをアップデートできない環境向けに、緊急の暫定緩和策もあわせて提示しました。ただし、暫定緩和策はセッション機能の不具合などの副作用を伴う可能性があり、すべての攻撃を防げるものではないため、修正パッチを早急に適用することが不可欠だとしています。

TheoriのAI & Cyber Research Leadであるイム・ジュノ（Junoh Im）は、次のように述べています。「PHP2Shellは、アプリケーションのコードに関係なくサーバー全体を危険にさらしうる、極めて深刻な脆弱性です。PoCが急速に拡散している状況を踏まえ、まずはご利用のOS／ディストリビューションで修正版が提供されているかを確認し、速やかにアップデートすることを強く推奨します。パッチを適用するまでの間は、当社が公開した暫定緩和策を適用するとともに、設定確認スクリプトを実行して設定状況と侵害の有無をご確認ください。」

PHP2Shellの技術的な仕組み、設定確認スクリプト、詳細な対応ガイドは、Xint公式サイト(https://xint.io/jp)でご確認いただけます。

【Xintについて】

Xint（ジント）は、サイバーセキュリティ企業のTheoriが開発した、AIを活用した自律型ペネトレーションテストプラットフォームです。開発段階から本番環境まで、企業のセキュリティ上の脆弱性を検査します。ソースコードのコンテキストとデータフローを追跡し、悪用可能な欠陥を事前に発見するAIベースのホワイトボックス型ペネトレーションテスト「Xint Code」、稼働中のサービスを攻撃者の視点から検査するAIベースのブラックボックス型ペネトレーションテスト「Xint Web」、必要なタイミングで個別のWebアプリケーションを検査するオンデマンド型ペネトレーションテストソリューション「Xint Pulse」で構成され、企業に隙のないオフェンシブセキュリティ環境を提供しています。

【Theoriについて】

Theoriは、「テクノロジーで世界をより安全にする」をビジョンに掲げる、AIを活用したオフェンシブセキュリティの専門企業です。世界最高峰のハッキング大会「DEF CON CTF」で最多優勝（通算9回）を誇る実践力をもとに、Google、Microsoft、Samsung Electronicsなどグローバルな主要企業にセキュリティコンサルティングを提供してきました。このノウハウをAIで実装したAIペネトレーションテストプラットフォーム「Xint（ジント）」は、米国防高等研究計画局（DARPA）の研究事業者に選定されるなど、グローバル市場で技術力が高く評価されています。