【5分でわかる「PHP2shell」時系列まとめ】～世界的な警戒とサービス緊急停止から高市早苗首相によるSNSでの注意喚起、修正パッチの公開、適用まで～

「PHP2shell」に関する情報流出（リーク）から世界的なサービス停止、高市早苗首相によるSNSでの注意喚起、修正パッチの公開、適用までの時系列。

私自身が利用しているXServerサービスサイトや管理画面もメンテナンス画面状態となり、ロリポップ、ニコニコ動画、ツイキャス、アルファポリスの様な有名サイトでもサービス停止してメンテナンス画面状態にしていたサイトも確認しました、諸外国では政府系のウェブサイトをインターネットから一時的に遮断したというニュースも閲覧しました。

ちなみにメンテナンス画面も時限設定や自社IPのみ許可設定等の作業が必要でして、WEBエンジニアとしては意外と面倒な作業となります…

モデム時代から使用していた私のインターネット使用歴史の中でもなかなかの大事件でしたので、簡単な時系列をまとめてみました。

PHP2shell 発生から収束までの時系列

1. 事前兆候と情報流出（10月17日～20日）

10月17日：Amazon Threat Intelligenceが同社のハニーポットで、脆弱性を狙った最初期の攻撃試行を観測。

10月20日：15:00 UTC（日本時間 21日0:00頃）: 当初は10月22日に非公開で修正パッチが公開される予定だったが、Hacker News等の海外掲示板やSNS上で「PHPにCVSS 10.0級の深刻な脆弱性が存在する」とする未公開情報がリークされる。

10月20日 19:30 UTC（日本時間 21日4:30頃）：PHP開発チームが事態を受けて事前告知を緊急発出。パッチ公開予定日時を10月21日 14:00 UTC（日本時間 23:00）へ前倒しすることを発表。

10月20日 20:00 UTC頃：海外セキュリティ企業が検証用の実証コード（PoC）動画を誤って公開。動画は即座に削除されたものの、複製されたPoCがSNS上に一気に拡散する。

2. 世界的な警戒とサービス緊急停止（10月21日 日中～夕方）

10月21日 午前：CERT-EUや日本のIPA（情報処理推進機構）など国内外のセキュリティ機関が一斉に注意喚起を発出。「利用しているPHP環境の棚卸し」と「パッチ公開後即時適用できる体制」を呼びかける。

10月21日 日中～夕方：
攻撃の現実化に備え、オランダ政府ポータルやデンマーク・フィンランドの政府・公的機関サイト、国内外のWebサービス（BASE、さくらのレンタルサーバ、保育園向けアプリ「コドモン」など）が相次いで予防的な緊急メンテナンス・一時サービス停止を実施。
CloudflareがWAF（Web Application Firewall）による自動防御ルールを全顧客へ緊急適用。

10月21日 夜：高市早苗首相が自身のX（旧Twitter）アカウントにて「大至急のお願い」と題した投稿を実施。PHPを利用する企業や自治体に対し、脆弱性対応の徹底と、被害を防ぐための迅速な公開停止を含めた危機管理を直ちに呼びかける。

3. 修正パッチの公開と対応（10月21日 深夜～22日以降）

10月21日 22:40～23:00頃（日本時間）：PHP開発チームより、本脆弱性を修正した正式版（PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12）が緊急リリース。同時にGitHubセキュリティアドバイザリにて詳細な技術情報が公開される。
※EOL（サポート終了）となっている PHP 7.4, 8.0, 8.1 に対してはバイナリ形式の更新版は提供されず、ソースコードレベルの最小修正パッチのみが公開された。

10月22日～：各事業者が修正版プログラムの適用、保守パッチの当て込み、および動作検証を完了させ、順次Webサイトやサービスの公開を再開。

今回の出来事の教訓

アプリケーション層のコード（WordPressや自社開発スクリプトなど）に問題がなくても、言語のランタイム環境（PHP本体）のメモリ管理バグに起因していたため、WAFの導入やPHP自体の迅速なアップデート、サポート終了バージョン（EOL）からの脱却が強く求められるインシデントとなりました。

PHP2shell（CVE-2026-109618 / CVE-2026-109619）とは

PHP2Shellの脆弱性は、2012年3月に公開されたPHP 5.4にまで遡り、2026年10月の修正版公開までの幅広いバージョンに、2件の脆弱性の少なくとも一方が存在していた。

2件の脆弱性はいずれもPHP本体のメモリ管理やエラー処理に関係している。PHPが内部で使用するメモリの状態を適切に管理できないことにより、メモリ破損や解放済みメモリへのアクセスが発生する。

CVE-2026-109618
メモリ不足（out-of-memory、OOM）時の処理に起因する脆弱性である。PHPがリクエストを処理する途中でメモリの割り当てに失敗すると、内部データの初期化が完了しないまま処理が中断される場合がある。その後、リクエスト終了時の後処理で不正な状態のデータが正常なものとして扱われると、メモリ破損が発生し、遠隔コード実行につながる可能性がある。

CVE-2026-109619
リクエスト間で内部状態が不適切に保持されることに起因する脆弱性である。致命的なエラーなどによって、あるリクエストで使用したメモリへの参照が、そのメモリの解放後もPHPの内部状態に残る場合がある。同じワーカープロセスが次のリクエストを処理する際にその参照を使用すると、解放済みメモリへのアクセス（use-after-free）が発生し、遠隔コード実行につながる可能性がある。

これらの脆弱性を悪用された場合、攻撃者が認証なしでサーバー上のコードを実行したり、プロセスのメモリ上に存在する情報へアクセスしたりする可能性がある。脆弱性はウェブアプリケーションではなくPHP本体に存在するため、アプリケーション側に脆弱性がなくても影響を受ける場合がある。

PHPはウェブアプリケーションやコンテンツ管理システム（CMS）などで広く使用されているため、脆弱性の影響範囲は広いとされた。

「【5分でわかる「PHP2shell」時系列まとめ】～世界的な警戒とサービス緊急停止から高市早苗首相によるSNSでの注意喚起、修正パッチの公開、適用まで～」でチラックススタイル💡