PHP2Shellの脆弱性：パッチ適用の遅れがサイバー攻撃のリスクを増大

セキュリティ脅威の現状

2つのソフトウェア脆弱性（CVE-2026-109618およびCVE-2026-109619）で構成されるPHP2Shellの脆弱性は、Webインフラストラクチャにとって実存的な脅威であり続けています。CVSSスコアで非常に高い危険度（9.2）と評価されているにもかかわらず、組織によるパッチ適用の対応は依然として懸念されるほど低調です。

Ox Securityのデータによると、脆弱性が公開されてから5日が経過しても、システムの約93.6%が依然として侵害に対して脆弱な状態です。研究者らは、修正のペースが非常に遅く、機密性の高いデジタル資産が攻撃者に対して無防備なまま放置されていると指摘しています。

なぜこのニュースが重要なのか

事態の深刻さは、サーバーサイドプログラミング言語を使用するWebサイトの約70%がPHPに依存しているという点にあります。CensysやFlareといったセキュリティ企業の調査によると、サポートが終了したバージョンのPHPで稼働しているサービスが数百万件存在しており、これらは公式のセキュリティアップデートを受け取ることができず、安全なバージョンへ移行するには多大な技術的労力を要します。

セキュリティチームが直面している課題は以下の通りです：

• 古いバージョンへの依存：スキャンされたサービスの70%以上が、PHPプロジェクト本体によってサポートが終了したバージョンで稼働していると推定されています。
• アップグレードの複雑さ：レガシーシステムの更新には、単なるパッチ適用以上の、互換性の問題解決やアプリケーションの更新作業が必要です。
• 攻撃の急増：Cloudflareは、脆弱性の公表前には数千件だった悪用試行が、現在では数百万件にまで急増していることを観測しています。

政府の措置と制限

このような対応の遅れを受け、政府機関は断固とした措置を講じています。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦民間機関に対し、2026年10月29日までにこの脆弱性に対処するよう義務付けました。また、この脆弱性は、セキュリティ確保が困難であるという理由から、一部のPHPベースのプラットフォームを恒久的な閉鎖に追い込む事態も引き起こしています。

専門家は、これほど広範囲に攻撃が拡散している状況下では手動のパッチ適用だけでは不十分であり、サポートされていないバージョンで運用を続けている組織は、侵害を受ける差し迫ったリスクに直面していると警告しています。