昨今の脆弱性事情と、PHP2shell対応の記録

2026.11.06

はじめに

ここ1ヶ月ほど、脆弱性の調査と対応に追われています。今回は、10月のPHP2shellの対応について書きたいと思います。

昨年あたりから脆弱性の報告件数を追っていて、ずいぶん増えてきたなという印象がありました。セキュリティ対応にかける工数を、そろそろ増やさないといけないと思っていた矢先のことでした。

9月には情報漏洩のニュースがとても多く、正直なところ嫌な予感がしていて、その予感どおり、10月20日のPHP2shellから今日にいたるまで、毎朝起きるたびに新たな脆弱性が発表されているのを確認しています。

もともとは、JVNのデータベースで日々の脆弱性を確認していましたが、今年に入ってからは、それだけでは追いきれないと感じ、 Xでセキュリティ関連のアカウントをフォローして情報を集めるようにしていました。結果的に、これが今回の初動の早さにつながりました。

毎朝の情報収集から対応の判断までの流れ（イメージ図）。JVNとXで集めた情報を毎朝確認し、危険度が高ければすぐ社内に報告して対応を決める。

PHP2shellを知った日の流れ（イメージ図）。朝7時にXで脆弱性を確認、朝一で社内に報告、午前11時にお客様の了解のもと該当サーバーを停止。その後PoCが公開され、修正パッチは23時頃の公開予定だった。

その日は朝7時、Xを見ているとCVSS 9台のPHPの脆弱性が出ていました。 PHPのリリースページを確認すると、修正パッチはまだ出ておらず、公開は日本時間の23時頃の予定とのことでした。

CVSS 9台ということは、攻撃の条件がゆるく、実行しやすい脆弱性ということで、嫌な予感しかしませんでした。深夜にパッチが出ても、すぐに当てられるかはわかりません。これは大変なことになると思い、朝一で社内に報告しました。

最近のAIはかなり賢いので、PoC（攻撃コード）が作られるのも時間の問題だと考えました。パッチがない以上、インターネットに公開しているサーバーを守る手段はありません。お客様にご理解をいただいたうえで、午前11時には該当するPHPサーバーのサービスを停止しました。

その後、SNSで情報を追っているとPoCが公開されました。ほかのシステムでも続々とメンテナンスによる停止の告知が出て、首相からも対応を呼びかける告知がありました。それを見て、午前中に止めた判断は間違っていなかったと安心しました。

PHP2shellのあとも、CVSS 9台の脆弱性がいくつも発表されています。スコアの高い低いに関係なく、脆弱性が見つかる件数そのものが増えており、パッチがすぐには提供されないケースもあります。お客様の資産をどう守るか、システムの構成も含めて大きな過渡期を迎えていると感じています。

脆弱性の数が増えているだけでなく、公開から攻撃までの時間がとても短くなっていると感じています。これからも情報収集を続け、何かあったときに素早く動ける体制を作っていければと思います。

以上です。読んでいただきありがとうございました。