米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、PHPプログラミング言語における、総称して「PHP2Shell」と呼ばれる2つの深刻なセキュリティ脆弱性を、実際の攻撃で悪用されている脆弱性のカタログに登録した。
脆弱性の詳細と進行中の攻撃
(CVE-2026-109618)および(CVE-2026-109619)として識別されるこれら2つの脆弱性は、事前の権限を持たない攻撃者が、必要なセキュリティアップデートを適用していないシステムに対して、リモートコード実行（RCE）を目的とした高度に複雑な攻撃を実行することを可能にする。PHPのセキュリティチームは、公表前に複数のセキュリティ企業によって広範囲な悪用試行が確認されたことを受け、10月にこれら2つの脆弱性を修正するために必要なソフトウェアアップデートをリリースしていた。
公式な修正プログラムのリリース前に、脆弱性の詳細が漏洩し、一部の概念実証（PoC）コードがインターネット上に公開されたものの、PHPセキュリティチームは、それらの試行は当初は効果的ではなかったと断言している。しかし、AmazonやCloudflareを含む複数のセキュリティ企業は、公式アップデートのリリースからわずか数日前に、これらの脆弱性を標的とした悪用試行を記録している。
政府機関への緊急指示
これらの進展を受けて、CISAはこれらの脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加し、連邦文民執行機関（FCEB）に対し、拘束力のある運用指示（BOD 26-04）に従ってシステムを保護し、必要な修正を適用することを義務付けた。同庁は、この種の脆弱性が、インフラストラクチャや連邦機関を直接脅かす一般的な攻撃経路となっていると警告した。
この進展が実務的に何を意味するか？
PHP言語の広範な普及を考慮すると、これらの更新は極めて重要である。VirusTotalプラットフォームの推定によると、PHPは世界中のウェブサイト全体の約70%を占めており、数百万のホストが危険にさらされている。米国当局によるこの実地での動きと、インシデント対応チームの迅速な対応は、デジタル環境において悪用が確認された深刻な脆弱性に即座に対処するために、技術機関がリスクベースの脆弱性管理計画を採用する必要性を反映している。