Cohesity、PHPの深刻な脆弱性「PHP2Shell」の影響と企業が講じるべき対策を解説

～金融機関を含む幅広いシステムへの影響を指摘、早期の修正と侵害調査の重要性を強調～

AIを活用したデータセキュリティのリーダーであるCohesity (日本法人: コヒシティジャパン合同株式会社、東京都港区、以下「Cohesity」)　は、本日、Webアプリケーションなどで広く利用されるプログラミング言語PHPに発見された深刻な脆弱性「PHP2Shell」(CVE-2026-109618およびCVE-2026-109619) について、Cohesity グローバル・サイバーレジリエンス戦略・コンサルティング・対応サービス担当バイスプレジデント James Blake（ジェームズ・ブレイク）の企業・組織への影響と推奨される対策に関する見解を発表しました。

今回の脆弱性は、Webサーバーだけでなく、PHPを利用するさまざまなアプリケーションやネットワーク機器、セキュリティ製品などにも影響が及ぶ可能性があります。攻撃者に悪用された場合、認証を経ずに遠隔から任意のコードを実行されたり、システム内の機密情報にアクセスされたりするリスクがあります。金融機関や公共機関を含め、多くの企業・組織でPHPが利用されていることから、Cohesityは影響を受けるシステムの特定と修正プログラムの早期適用に加え、ネットワークへのアクセス制限、侵害の有無の調査、サイバーレジリエンスの確保が重要であると指摘しています。

■「PHP2Shell」の影響と対策

・Webサイトだけでなく、ネットワーク機器やセキュリティ製品にも影響

PHPは、WordPressなどのWebサイト管理システムをはじめ、さまざまなサービスや製品に使用されています。また、Webサーバーだけでなく、一部のネットワーク機器やセキュリティ製品にも使われているため、企業が把握していないシステムにも脆弱性が存在する可能性があります。

特に、Apache WebサーバーでPHPを動作させる「mod_php」は、企業が導入状況を十分に把握していないケースもあります。Cohesityは、Webサイトに加え、ネットワーク機器や管理画面なども含め、PHPの利用状況とインターネットからのアクセスの可否を確認するよう呼びかけています。

・金融機関も影響を受ける可能性、対策状況によってリスクに差

金融機関も他の企業と同様にPHPを利用しており、今回の脆弱性の影響を受ける可能性があります。ただし、金融機関では、外部からの不正なアクセスを防ぐWebアプリケーションファイアウォール (WAF) や、管理システムへの接続を制限する踏み台サーバーなど、多層的なセキュリティ対策を導入している場合があります。

こうした対策は攻撃リスクの軽減に役立ちますが、すべての攻撃を防げるわけではありません。業種にかかわらず、自社システムの公開状況やアクセス制限を確認し、適切な対策を講じることが重要です。

・不正アクセスによる機密情報の漏えいなどのリスク

今回の脆弱性が悪用されると、攻撃者がパスワードなどの認証情報を使わずに、遠隔からシステムを不正に操作するおそれがあります。また、パスワードやAPIキー、認証に使用する情報などが盗まれる可能性もあります。

さらに、複数のWebサイトが同じサーバーを利用している場合、被害が他のサイトに広がる可能性もあります。Cohesityは、修正プログラムを適用するだけでなく、すでに不正アクセスを受けていないかを調査することも重要だと指摘しています。

・古いPHPを利用する企業では、更新やシステムの切り離しが必要

PHP 8.2以降のサポート対象バージョンには、今回の脆弱性に対応する修正プログラムが公開されています。一方、すでに公式サポートが終了したPHP 5やPHP 7では、通常の修正プログラムによる対応が難しく、新しいバージョンへの移行にもシステムの改修が必要になる場合があります。

すぐに更新できない場合は、対象システムを外部ネットワークから切り離すなどの対策が求められます。また、システムの更新は、企業が自ら行う場合と、クラウドやホスティングサービスの提供事業者が対応する場合があります。企業は、サービス提供事業者の対応状況を確認し、必要な対策を速やかに進めることが重要です。

■ Cohesityが推奨する6つの対策

Cohesityは、今回の脆弱性への対応として、企業・組織に以下の対策を推奨しています。

1. サイバーレジリエンスの確保

   インターネットに公開された旧バージョンのPHPを利用するシステムを保有する組織では、バックアップや復旧体制を含むサイバーレジリエンスを早急に確認・強化する。

2. 修正プログラムの適用と影響システムの隔離

   インターネットに公開されたmod_phpを利用するシステムを優先し、修正プログラムを適用する。直ちに対応できない場合は、対象システムを隔離する。

3. WAFなどによる暫定的な防御策の導入

   修正プログラムの適用まで時間を要するシステムについては、WAFルールやセキュリティベンダーが提供する検知シグネチャを活用し、攻撃リスクの低減を図る。

4. 管理インターフェースへのアクセス制限

   ネットワーク機器やアプライアンスなどの管理画面について、信頼できるIPアドレスからのみアクセスを許可するなど、外部からのアクセスを制限する。

5. 修正困難なシステムの保護

   セキュリティアップデートを適用できないシステムについては、信頼できないネットワークから切り離し、攻撃を受ける可能性を低減する。

6. 修正後の侵害調査の実施

   修正プログラムを適用した後も、すでに不正アクセスや侵害が発生していないかを調査する。CohesityのThreat Huntingなどの脅威ハンティング機能を活用し、侵害の兆候を継続的に確認することが重要となる。

Cohesity グローバル・サイバーレジリエンス戦略・コンサルティング・対応サービス担当バイスプレジデント James Blake（ジェームズ・ブレイク）は、次のように述べています。

「今回のPHP2Shellは、Webサーバーだけでなく、企業が日常的に使用するネットワーク機器やセキュリティ製品にも影響を及ぼす可能性がある点で、幅広い組織が注意すべき脆弱性です。金融機関を含む企業・組織は、自社のシステムがインターネットからどの程度アクセス可能な状態にあるかを確認し、修正プログラムの適用やアクセス制限を優先する必要があります。また、脆弱性の修正だけで対応を終えるのではなく、すでに侵害が発生していないかを調査し、万一の攻撃に備えたデータ保護・復旧体制を確保することが重要です。

企業は脆弱性への対処とサイバーレジリエンスの強化を一体的に進める必要があります」

Cohesity について

Cohesityは、世界中のデータを保護し、セキュリティを強化し、インサイトを提供します。AI を活用したデータセキュリティのリーダーとして、Cohesity は企業のレジリエンス強化、復旧の高速化、IT コスト削減を支援します。Zero Trust セキュリティと高度な AI/ML を備えた Cohesity Data Cloud は、Global 500 の 70％を含む、140 以上の国の顧客に信頼されています。また、Cohesity は NVIDIA、Amazon、Google、IBM、Cisco、HPE といった業界リーダーからも支援を受けています。 

Cohesityは、複数の国において「Great Place to Work」（働きがいのある会社）の1社に認定されています。詳細は、LinkedInでCohesityをフォローするとともに、www.cohesity.comをご覧ください。