OpenAI、Wiz、Calif.ioを含む複数のテクノロジー企業が、PHPプログラミング言語における2つの重大なセキュリティ脆弱性（識別子：CVE-2026-109618およびCVE-2026-109619、総称してphp2shell）を明らかにしました。これらの脆弱性は、PHP 5.4以降のバージョンを実行しているすべてのWebサーバーに影響を及ぼし、リモートコード実行（RCE）、サービス拒否（DoS）、機密データの漏洩といったリスクを引き起こします。
脆弱性の仕組み
php2shellの脆弱性は、HTTPリクエスト処理中のエラー発生時におけるPHPのメモリ処理の不具合に起因しています。通常、PHPは必要なデータにメモリを割り当ててから解放しますが、処理が予期せず停止した場合、メモリを安全にクリーンアップできないことがあります。攻撃者は、特別に細工されたHTTPリクエストを送信して不正なメモリを操作し、この状態を悪用することで、プロセスのクラッシュや不正なデータへのアクセスを引き起こします。
Cloudflareの技術的対応
Cloudflareは、これら脆弱性の一般公開の約9時間前に先手を打ち、無料プランのユーザーを含むすべての顧客に対してWebアプリケーションファイアウォール（WAF）経由の保護ルールを展開しました。同社は今回、初めて「完全トランザクション検出」（Full Transaction Detection）と呼ばれる新しい技術能力を活用しました。
この技術は、ユーザーのリクエスト分析のみに依存する従来のルールを超越し、リクエストとレスポンスから得られるシグナルを単一のHTTPトランザクションに統合します。これにより、オリジンサーバーのレスポンスに悪用の兆候が含まれていることが判明した場合にシステムがそれをブロックできるようになり、誤検知（False Positives）の可能性を低減し、保護の精度を高めます。
ユーザーにとっての実質的な変更点
- 自動保護：手動での介入を必要とせず、すべてのCloudflare顧客に対して新しいルールが自動的に有効化されました。
- 多層防御：WAFによる保護が提供される一方で、同社はこの保護が追加の防御層に過ぎず、サイト管理者が開発者の推奨に従ってPHPのバージョンを直ちにアップデートする必要性に取って替わるものではないことを強調しています。
- 継続的な監視：Cloudflareのセキュリティアナリストは、悪用の試みを継続的に監視し、攻撃者が考案する可能性のある回避技術に対抗するためにルールを更新し続けます。
ユーザーは、Cloudflareダッシュボード（Security > Security Analytics > Events）からイベントログを確認し、保護が有効になっていることの確認や、セキュリティアップデートで指定されたルールIDを使用して阻止された攻撃の試みを追跡することができます。