PHP の重大な脆弱性（通称 PHP2Shell）について

概要

想定される被害

攻撃者はサーバーを事実上自由に操作できるようになるため、被害はそのサーバーにとどまらず、組織全体に及ぶおそれがあります。具体的には、次のような被害が想定されます。

• Web サイトの改ざん、偽のページや不正なプログラムの設置
• サーバー内に保存された個人情報・認証情報の窃取
• サーバーを足がかりとした、組織内の他のシステムへの侵入
• 第三者への攻撃や迷惑メール送信の踏み台としての悪用

脆弱性の内容

開発元および各セキュリティ企業・機関の公表によれば、2件の脆弱性はいずれも PHP がメモリを扱う処理の不備に起因するもので、攻撃者は細工した要求を送ることで、Web サーバーの権限で任意のコードを実行できます。

• CVE-2026-109618 は、要求の処理中にメモリが不足した際、内部データの準備が途中で打ち切られ、後片付けの処理がその不完全なデータを正しいものとして扱ってしまうことに起因します。
• CVE-2026-109619 は、ある要求の処理を終えた後もメモリ上に残った状態が、次の要求の処理に持ち越されることに起因するとされています。

開発元は、Web の要求を処理するすべての PHP 環境に危険があるとしています。PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed などがこれに含まれ、なかでも mod_php の構成では、認証なしの要求を起点とする攻撃がすでに実証されているとして、最も危険度が高いとされています。 また、PHP 5 系にまでさかのぼって影響するとの分析もあり、サポートが終了した古い PHP には修正版が提供されません。 なお、PHP の設定変更のみでは根本的な対策にならないとされています。

悪用の状況

本お知らせの時点で、実際の悪用を確認していないとする機関がある一方、攻撃の兆候をすでに観測したとする企業もあり、情報が錯綜しています。 また、深刻度についても、開発元の評価（9.2）とは別に、最大値の 10.0 とする報道があります。 修正版の公開により技術的な詳細が明らかになったことで、今後、攻撃が本格化するおそれがあります。

学生・教職員の皆様へのお願い

• 本件に便乗し、本学や情報基盤センターを装ってパスワードの入力を求めるメールが送られるおそれがあります。本学がメールでパスワードをお尋ねすることはありません。
• 研究室やサークルで独自にサーバーを運用されている方は、PHP の利用状況を直ちにご確認のうえ、修正版を適用してください。修正版を適用できない場合は、当該サーバーをインターネットから切り離してください。
• 続報は、本ページおよび学務システム（YWRK Portal）にてお知らせいたします。

本学の対応について

なお、本学の Web サイトは PHP を使用しておりませんので、本脆弱性による影響はございません。 引き続き安心してご利用ください。