※本ブログは米国時間2026年10月28日に公開されたA10本社ブログの日本語訳です。原文はこちらからご覧ください。

2026年10月21日、セキュリティコミュニティは新たな緊急課題に直面しました。それは「PHP2Shell」と呼ばれる、PHP(Hypertext Preprocessor)における一連の重大な脆弱性です。これらの脆弱性は、認証を受けていない第三者によるリモートコード実行を可能にする恐れがあります。PHPは、多種多様なWebアプリケーションやコンテンツ管理システム(CMS)において極めて重要な役割を担っているため、これらの脆弱性が悪用された場合、その影響は壊滅的なものとなりかねません。

脆弱性が判明してから、組織がそれに対してパッチを適用するまでの間にはギャップが生じます。攻撃者は、まさにこのギャップを好機と捉えます。そして、この局面こそが、ThreatX by A10 Networks(以下ThreatX)のインシデント対応スペシャリストが真価を発揮できる場面なのです。

この記事の要点

  • ThreatXは、2026年10月21日に「PHP2Shell」の脆弱性が公開されたわずか14分後に、これを検知・遮断するためのルールを導入しました。
  • PHP2Shell(CVE-2026-109618およびCVE-2026-109619)は、Webアプリケーションやコンテンツ管理システム(CMS)において、認証なしでリモートコード実行を可能にする重大なPHPの脆弱性です。
  • リクエストベースの遮断機能を有効にしているThreatXの利用者は、追加の設定を行うことなく、自動的に保護されました。
  • 迅速かつ専門的なインシデント対応は、脆弱性の公開からパッチ適用までの「空白期間」を埋めるものです。攻撃者はまさにこの期間を最も悪用しようと狙っています。

公開から保護まで、わずか14分

PHP2Shell(CVE-2026-109618およびCVE-2026-109619)に関する発表を受けて、当社の主要顧客の1社の担当者から、ThreatXチームに対して率直な問いかけがありました。「この新たな脆弱性にThreatXはどれだけ迅速に対応できるか？」と。

  • 10月21日14:00 UTC： PoCが公開されるとともに、PHPのセキュリティ修正がリリースされました。
  • 10月21日14:14 UTC：ThreatXの検知・ブロックルール「299312」が、すべての顧客に対して適用されました。

この脆弱性情報がCloudflareによって公開されてから、わずか14分後には、ThreatXのセキュリティ専門家がそれに対する防御策を展開しました。

ThreatXのインシデント対応スペシャリストは、「PHP2Shell」の悪用を試みる攻撃を検知・遮断するためのルールを開発し、展開しました。このルールは、当該の攻撃に関連する「PHP_SESSION_UPLOAD_PROGRESS」というペイロードを含む悪意のあるマルチパートPOSTリクエストを標的とするものです。その結果、リクエストベースの遮断機能を有効にしていたThreatXの顧客は、顧客側で追加の設定を行うことなく、こうした攻撃の試みを検知・遮断できるようになりました。

ThreatXのインシデント対応スペシャリスト

14分という対応時間以上に注目すべきは、その背後にいるチームの存在です。ThreatXのインシデント対応スペシャリストは、一般的なマネージドSOCの枠を超えた存在です。彼らは脅威を能動的に探索・分析し、プロフェッショナル・サービスを提供し、アクティビティの監視やアラートの精査を行い、顧客のインシデント対応を支援します。ThreatXのインシデント対応スペシャリストは、セキュリティチームにとって心強い味方です。

「PHP2Shell」脆弱性への対応は、ThreatXが担う幅広い役割を示す好例です。ある顧客から、新たに公表された脆弱性について緊急の問い合わせが寄せられました。ThreatXチームは数分以内に対応し、脆弱性の実証コード(PoC)が公開されてからわずか14分後には、すでに対策が講じられていることを顧客に伝えました。現在同チームは、どのような保護が利用可能であるかを顧客に対して明確に伝えるための取り組みを進めています。このような技術力、迅速な対応、そして顧客支援を組み合わせることで、単なるセキュリティ製品が真のセキュリティパートナーへと変わるのです。

攻撃者は次のメンテナンス期間まで待ってはくれません。防御側もまた、それを待つべきではありません。

よくある質問(FAQ)

Q. 「PHP2Shell」の脆弱性とはどのようなものですか？
A. 「PHP2Shell」は、CVE-2026-109618およびCVE-2026-109619として識別される、PHPに存在する一連の重大な脆弱性です。これらは、認証を受けていない第三者によるリモートコード実行を許す可能性があります。2026年10月21日に公表されたこの脆弱性は、非常に多くのウェブサイトの基盤となっている技術に影響を及ぼします。そのため、攻撃者がこの脆弱性を悪用することに成功した場合、有効な認証情報を持たなくても、脆弱なサーバ上で悪意のあるコードを実行できる恐れがあります。
Q. なぜ「PHP2Shell」の脆弱性はそれほど危険なのでしょうか？
A. PHPは、数多くのWebアプリケーションやCMSの基盤となっています。そのため、認証なしでリモートからコードを実行できてしまうような欠陥は、極めて広範囲に甚大な被害をもたらす可能性があります。真のリスクは、脆弱性が公表されてから修正パッチが適用されるまでの「期間」にあります。この間には、攻撃を実証するコード(PoC)が存在するにもかかわらず、多くの組織ではまだアップデートが完了していないため、攻撃者に付け入る隙を与えてしまいます。
Q. ThreatXは「PHP2Shell」に対応するまでどのくらいの時間を要しましたか？
A. ThreatXは、公開からわずか14分後には検知・ブロック用のルールを適用していました。2026年10月21日14:00(UTC)に概念実証(PoC)コードとPHPのセキュリティ修正が公開されましたが、ThreatXのルール「299312」は同日14:14(UTC)には全顧客向けに適用されました。これにより、多くのセキュリティチームがパッチ適用に着手するよりもはるかに早い段階で、顧客を保護できました。
Q. ThreatXは、PHP2Shellの悪用を試みる攻撃をどのようにブロックしたのでしょうか？
A. ThreatXのインシデント対応チームは、この攻撃で利用される悪意のあるマルチパートPOSTリクエスト、具体的には、PHP_SESSION_UPLOAD_PROGRESSペイロードを含むリクエストを対象としたルールを作成しました。リクエストベースのブロック機能を有効にしている顧客は、追加の設定を行うことなく、こうした攻撃を自動的に検知・ブロックできました。つまり、ルールが展開された時点で即座に保護が適用されたことになります。
Q. ThreatXのインシデント対応スペシャリストとはどのような存在ですか？
A. ThreatXのインシデント対応スペシャリストは、従来のSOC(セキュリティオペレーションセンター)の枠を超えたマネージドセキュリティチームです。脅威の探索やマッピング、アクティビティの監視、アラートの精査、プロフェッショナル・サービスの提供を行い、顧客が進行中のインシデントに対処できるよう支援します。PHP2Shellへの対応事例は、このチームがいかにリアルタイムで保護を提供し、セキュリティ製品を真のセキュリティパートナーへと高めていることを示しています。
Q. 組織は「PHP2Shell」のような脆弱性からどのように身を守ることができるでしょうか？
A. 迅速なパッチ適用は不可欠ですが、脆弱性が公表されてから修正が完了するまでの間、システムはどうしても一定期間、危険にさらされた状態となります。ThreatXのようなマネージド型検知・対応(MDR)ソリューションを活用すれば、新たな脅威の発生から数分以内に保護対策を展開できるため、この空白期間を埋めることが可能です。リクエスト単位でのブロック機能を有効にし、アクティブなインシデント対応チームを活用することで、こうした脆弱な期間のリスクを低減できます。