HBLAB、PHPの重大脆弱性「PHP2Shell」の影響範囲を調査するアセスメントサービスの提供を開始

緊急対応からマイグレーション、長期運用まで一貫して支援

株式会社エイチビーラボジャパン（以下、HBLAB JAPAN。代表：グエン・フイ・タン） は、2026年10月21日に修正パッチが公開されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について、影響範囲を調査・評価するサービス「PHP2Shell Assessment」の提供を、2026年10月23日より開始します。

HBLAB JAPANのエンジニアが稼働中のPHPシステムを個別に評価し、対応の優先順位を明確にしたうえで、緊急対応からマイグレーション、長期運用に至るまでの対応計画をご提案します。他社が開発したシステムも対象です。

■ 背景：PHPのコア部分に重大な脆弱性、幅広いシステムに影響の可能性 

PHP開発チームが公表した2件の重大な脆弱性「PHP2Shell」（CVSS v4.0：9.2）は、認証なしでリモートから任意のコードを実行されるおそれがあります。脆弱性はPHPのランタイム自体に存在し、WordPress、Laravelなどを利用したシステムから独自開発のシステムまで、幅広いPHP稼働環境に影響する可能性があります。W3Techsによると、2026年8月時点でPHPはサーバーサイド言語を特定できるWebサイトの約70％で使用されています。

JPCERT/CCとIPAが注意喚起を行っており、根本的な対策には修正版への更新が必要です。国家サイバー統括室も注意喚起を発信し、時事通信によると、高市早苗首相も企業に対してWebサイトの点検と速やかなパッチ適用を呼びかけました。

一方、Amazonの報告では、公表日の10月21日より4日前の10月17日から攻撃の試みが確認されており、同日までさかのぼった調査が推奨されています。パッチ適用前に侵害されていた場合、更新だけでは既存のマルウェアや不正な侵入経路を除去できないため、侵害の有無を確認することも重要です。

■ 個別の脆弱性対応から、継続的なリスク管理へ

PHP2Shellの原因となる脆弱性は、PHPのソースコード内に長年潜在しており、AIを活用した調査によって発見されました。セキュリティ企業Wizは、AIがPHPのバージョンや設定に応じた攻撃コードの調整にも活用され得ると指摘しています。AIによって脆弱性の発見と悪用が加速するリスクが高まっており、Node.jsでも2026年に複数回のセキュリティ修正が行われています。

加えて、PHP 8.2は2026年12月31日にセキュリティサポートが終了する予定であり、PHP 8.1以前には今回の脆弱性に対応する公式の修正版リリースが提供されていません。今回のパッチ適用を終えても、近い将来に再びサポート終了への対応が必要となるシステムがあります。

こうした状況を踏まえ、企業には個別の脆弱性対応に加え、システムの影響範囲を把握し、対応の優先順位を判断したうえで、マイグレーションや継続的な脆弱性管理まで見据えた対応プロセスの整備が求められます。

■ HBLABがアセスメントで重視する3つの原則

1. 稼働環境の実態を正確に把握する

今回の脆弱性はPHPのランタイム自体に存在するため、WordPressやフレームワークを更新するだけでは解消しません。実際にサーバー上で稼働しているPHPのバージョンに応じて対応方針を判断する必要があります。また、PHPをアップグレードできるかどうかは、利用中のフレームワークにも左右されます。

2. 外部公開状況とパッチ適用の可否を踏まえて優先順位を決める

インターネットからアクセス可能で、公式パッチが提供されていないPHPバージョンを利用しているシステムは、最優先で対応すべき対象です。

3. パッチ適用だけで対応を終わらせない

脆弱性が長年潜在していたことから、公表前にすでにシステムへ侵入されていた可能性も否定できません。パッチ適用後も侵害の痕跡を調査し、必要に応じて認証情報を更新することが重要です。

実際には、第一の原則である現状把握の段階で課題を抱えている企業も少なくありません。特に、他社が開発したシステムでは、稼働中のPHP環境を網羅的に把握できていないケースがあります。

■ HBLABのサービス：アセスメントから始め、長期的な対応まで支援

「PHP2Shell Assessment」は、PHPを利用している企業に向けて、パッチ適用の有無を問わず、最初のステップとしてHBLABが提案するアセスメントサービスです。

HBLAB JAPANのエンジニアがシステムごとの稼働状況を調査し、影響範囲やリスクを評価したうえで、対応の優先順位を整理し、個々の状況に応じた対応計画をご提案します。

• パッチ未適用のシステム： 修正版への更新を優先し、根本的な対処が完了するまでの間は、暫定的なリスク低減策を実施するなど、緊急対応を行います。

• パッチ適用済みのシステム： パッチが正しく適用され、有効に機能していることを確認したうえで、侵害の痕跡を調査し、認証情報を更新します。また、サポート終了が近いPHPやフレームワークを使用している場合は、マイグレーションを検討し、その後も継続的な脆弱性管理を通じて、今後のセキュリティ更新に備えます

本サービスは、HBLAB JAPANが開発していないシステムも対象としています。

■ 無料相談のお申し込み

HBLABでは、アセスメントの実施に先立ち、システムの現状や評価対象の範囲を確認するための個別無料相談を受け付けています。

自社システムがPHP2Shellの影響を受けるかどうか分からない場合でも、お気軽にご相談ください。

お申し込みの際は、問い合わせ内容に「PHP2Shell」とご記入ください。

無料相談に申し込む

※NDA（秘密保持契約）を締結していないお客様については、作業開始前にNDAを締結します。

HBLAB JAPANの既存のお客様は、担当者まで直接お問い合わせください。

■ 会社概要

会社名：株式会社エイチビーラボ ジャパン

所在地：〒105-0012東京都港区芝大門1丁目3番4号　グランファースト芝大門6階

代表者：Nguyen Huy Thang（グエン・フイ・タン）

事業内容：ソフトウェア開発／システム移行（マイグレーション・モダナイゼーション）／AIソリューション／ローコードソリューション／マネージドサービス

認証：プライバシーマーク（Pマーク）、ISMS（ISO/IEC 27001）、CMMIレベル3

URL:　https://hblab.co.jp/

■ 参考情報・出典

PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (JPCERT/CC, 22/10/2026). https://www.jpcert.or.jp/at/2026/at260033.html

PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell) (IPA, 22/10/2026). https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

国家サイバー統括室 (@cyber_forecast), bài đăng cảnh báo trên X (22/10/2026). https://x.com/cyber_forecast/status/2113158056934871216

プログラム言語「ＰＨＰ」に重大弱点　高市首相、ＳＮＳで注意喚起 (時事通信, 21/10/2026). https://www.jiji.com/jc/article?k=2026102101249&g=pol

Security advisory: Critical remote code execution vulnerabilities, update now（英語）(PHP Group, 21/10/2026). https://www.php.net/archive/2026.php#2026-10-21-5

Upcoming Critical PHP Security Release（英語）(PHP Group, 20/10/2026). https://www.php.net/archive/2026.php#2026-10-20-1

Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot（英語）(AWS Security Blog, 21/10/2026). https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/

Usage statistics of PHP for websites（英語）(W3Techs, 8/2026). https://w3techs.com/technologies/details/pl-PHP

Thursday, June 18, 2026 Security Releases（英語）(Node.js, 18/6/2026). https://nodejs.org/ja/blog/vulnerability/june-2026-security-releases