2026年10月21日、PHP Core（PHPのコア部分）において、リモートコード実行（RCE）につながる2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619が公開されました。
これらの脆弱性は総称して「php2shell」と呼ばれ、いずれもCVSS v4.0の深刻度スコアは9.2（Critical：緊急）と評価されています。悪用された場合、攻撃者が認証を経ずに任意のコードを実行し、機密情報への不正アクセスやサービスの停止などを引き起こすおそれがあります。
CDNetworksは迅速に対応し、Webアプリケーションファイアウォール（WAF）を通じて、これらの脆弱性に特化したセキュリティ対策を提供しています。
CVE-2026-109618、CVE-2026-109619とは？
報告された2件の脆弱性は、PHPの実行環境（PHPランタイム）におけるメモリ処理の不具合に起因するものです。
攻撃手法としては、PHPのsession.upload_progress機能を悪用したmultipart/form-data形式のファイルアップロードなど、細工されたHTTPリクエストを送信する方法が想定されています。
これらの脆弱性は、特定のアプリケーションやプラグインではなく、PHPのコア部分に存在します。そのため、影響を受けるPHPバージョンを使用している場合、WordPressやDrupalをはじめとするPHPベースのCMS、WebサイトやECサイト、Webアプリケーションなど、幅広いシステムが攻撃対象となる可能性があります。
CDNetworks、php2shellに対応する専用WAFルールを提供開始
脆弱性の公開を受け、CDNetworksのセキュリティリサーチチームは、速やかに技術的な分析を実施し、防御策の有効性を検証しました。
その結果、今回の脆弱性を悪用する不正なリクエストを検知・遮断するための専用WAFルール（ルールID：9657）をリリースしました。
本ルールは、CDNetworksのWebアプリケーション保護サービスをご利用のお客様に提供されています。
お客様は、ルールID 「9657」が有効になっていること、およびWAFの動作モードがブロックモード（Block mode）に設定されていることをご確認ください。
現在、検知のみを行うモニタリングモードで運用されている場合は、攻撃リクエストを遮断できません。Blockモードへの変更については、CDNetworksのテクニカルサポートまでお問い合わせください。
CDNetworksでは、引き続き新たな攻撃手法や脅威インテリジェンスを監視し、攻撃手法の変化に応じて防御ルールの継続的な更新・最適化を行ってまいります。
推奨される対策
CDNetworksでは、今回の脆弱性によるリスクを低減するため、以下の対策を推奨しています。
-
影響を受けるシステムの特定：
Webサーバー、PHP-FPM、Apache、コンテナイメージ、CLIスクリプト、長時間稼働するプロセスなどを対象に、使用しているPHPのバージョンを確認してください。
特に、PHP 8.1以前のサポートが終了したバージョンについては、優先的な確認と対応が必要です。 -
セキュリティパッチの適用：
使用しているPHPのバージョンに応じて、脆弱性が修正された最新バージョンにアップグレードしてください。対象となる修正版には、PHP 8.5.12、8.4.27、8.3.36、8.2.35が含まれます。 -
修正後の動作確認：
影響を受けるサービスを再起動し、必要に応じてコンテナイメージを再ビルドしてください。また、本番環境で実際に稼働しているプロセスが使用するPHPのバージョンを確認してください。なお、php -vコマンドで表示されるバージョンと、実際にWebリクエストを処理しているPHPのバージョンが異なる場合があります。そのため、実際に稼働しているプロセスのバージョンを確認することが重要です。 -
修正版適用までの暫定的な防御の強化：
直ちにセキュリティパッチを適用できない場合は、不要な外部公開からのアクセスを制限し、CDNetworks WAFの専用防御ルールが有効になっていることを確認し、ブロックモード（Block mode）による遮断を適用してください。
なお、PHPのdisable_functionsやopen_basedirなどの設定だけでは、今回の脆弱性に対する十分な防御効果は期待できないため、これらを緩和策として用いることは推奨されません。
WAFによる防御は、脆弱性を悪用した攻撃のリスクの軽減に役立ちます。ただし、脆弱性そのものを修正するものではありません。セキュリティパッチが適用されたPHPランタイムへのアップデートが不可欠です。
CDNetworksの継続的なセキュリティ対策
CDNetworksのセキュリティリサーチチームは、今回の脆弱性に関する最新の脅威動向を継続的に監視し、新たな攻撃手法に対応するため、防御機能の強化と最適化に取り組んでまいります。
グローバルに展開するCDNetworksのエッジセキュリティ基盤と高度な脅威検知・防御技術を通じて、お客様のWebサイトやアプリケーションをサイバー攻撃から保護し、安全で安定したサービス運用を支援します。
ご不明な点やサポートが必要な場合は、CDNetworksのアカウントマネージャーまたはテクニカルサポートチームまでお問い合わせください。