要約:
世界的なクラウド サービスおよびネットワーク セキュリティ企業である Cloudflare は、2026 年 10 月 21 日、PHP プログラミング言語の「php2shell」として知られる 2 つの重大なセキュリティ脆弱性に対して Web アプリケーション ファイアウォール (WAF) 保護ルールを導入したと発表しました。 2 つの脆弱性にはそれぞれ CVE-2026-109618 と CVE-2026-109619 の番号が付けられており、サービス拒否、リモートでのコード実行、機密データの漏洩につながる可能性があります。
Cloudflare は、同社は脆弱性が正式に公開される前に保護対策の準備を開始し、脆弱性が公開される約 9 時間前に導入を完了したと述べました。 10 月 21 日午前 3 時 2 分 (UTC) から、Cloudflare WAF を有効にしている無料顧客と有料顧客の両方がデフォルトで保護を受けるようになります。
この保護作業は、Cloudflare が PHP Foundation、OpenAI、Wiz およびその他の組織と協力して参加した調整された対応措置の 1 つです。脆弱性情報が事前に漏洩し、攻撃者が脆弱性を悪用しようとし始めた場合、関連するセキュリティチームは引き続き保護ルールを調整し、Web サイト運営者がソフトウェアのアップグレードを完了する前にインターネット サービスに追加の保護を提供するよう努めます。
Cloudflare は、この脆弱性が正式に公開される前に、顧客を標的とした攻撃トラフィックを観察していたと述べました。セキュリティ チームは、攻撃者が導入された保護対策を回避するために攻撃ペイロードを変更し続けていることも発見しました。 Cloudflareは、ルール一致の数を追跡し、ルールロジックと組み合わせた攻撃者の変化を分析することで、新しい攻撃の亜種に対処するために検出メカニズムを継続的に調整できます。
PHP は、インターネットで広く使用されているサーバーサイド プログラミング言語です。 CloudflareはW3Techsのデータを引用し、世界のWebサイトのほぼ70％がPHPを使用していると指摘した。 WordPress や Magento などの一般的な Web サイト プラットフォームはすべて PHP に依存して実行されます。したがって、基盤となるオペレーティング環境に重大な脆弱性が発生すると、多数の Web サイト、オンライン サービス、エンタープライズ アプリケーションに影響を与える可能性があります。
この脆弱性は、特定の Web サイト プログラムやプラグインではなく、PHP ランタイム自体に影響します。攻撃者は、特別に作成された HTTP リクエストをサーバーに送信し、PHP が異常な状態のメモリ問題を処理するようにトリガーする可能性があります。 Cloudflareが公開した情報によると、リクエスト処理中にメモリ不足や致命的なエラーが発生した場合に、PHPが関連するメモリや内部状態を安全に処理できないという2つの脆弱性が存在する。
最初の脆弱性 CVE-2026-109618 には、メモリ枯渇後の例外処理が含まれます。一部の内部データが初期化されていないときに PHP がリクエストを中断すると、その後のクリーンアップ操作で、効果的に初期化されていないデータが誤って通常のデータとして使用され、メモリ破損が発生する可能性があります。
2 番目の脆弱性 CVE-2026-109619 は、リクエスト終了後に残る内部状態に関係します。リクエストで致命的なエラーが発生した場合、PHP プロセスは解放されたメモリへの参照を保持し続ける可能性があります。その後、同じプロセスが別のリクエストを処理すると、有効期限が切れたメモリにアクセスし、機密データの漏洩につながったり、さらなる攻撃の条件を作り出したりする可能性があります。
攻撃者は特定のリクエストを作成することで、これらの例外をトリガーする可能性があります。リクエストが大きくなるとメモリに負荷がかかる可能性がありますが、リスクはサーバー リソースの消費に限定されません。攻撃者は、プログラムによる無効なメモリの処理の欠陥を悪用して、PHP プロセスをクラッシュさせたり、機密情報を漏洩したり、攻撃者が提供したコードを実行したりする可能性もあります。
このような脆弱性に直面すると、従来の Web アプリケーション ファイアウォール ルールは、必ずしも信頼できる十分な判断基準を提供するとは限りません。 Cloudflareは、受信リクエストを検査するだけでは、悪意のある攻撃と通常のトラフィックを正確に区別することが難しい場合があると指摘しています。リクエストとサーバーから返されたレスポンスを同時に分析できれば、より多くのコンテキスト情報を取得し、攻撃が成功したかどうかをより正確に判断し、通常のリクエストを誤って傍受する可能性を減らすことができます。
この目的のために、Cloudflare は「完全なトランザクション検出」と呼ばれる新しい WAF 機能を開発しました。このメカニズムは、分析のために同じ HTTP トランザクション内のリクエスト信号とレスポンス信号を組み合わせます。トランザクションが攻撃特性を満たしていることが検出ルールによって確認されると、送信元サーバーからの応答コンテンツが要求者に返される前に傍受される可能性があります。
php2shell にデプロイされた保護ルールは、この新しい機能を使用して Cloudflare によって開始された最初の管理された検出ルールです。同社は、リクエストとレスポンスを総合的に分析することで、複雑な攻撃を特定し、リクエストの特性のみに頼ることによる誤判断を軽減できると考えている。
具体的な展開に関して、Cloudflare は、無料パッケージのユーザーが新しい保護ルールを手動で有効にする必要はないと述べています。関連するルールは、Cloudflare がホストする無料のルールセットに自動的にデプロイされています。有料パッケージは、Cloudflare 管理のルールセットを通じて保護を提供します。 Professional、Business、Enterprise エディションのユーザーは、単に攻撃イベントをログに記録するだけでなく、関連するルール セットが有効であり、ブロック モードになっていることを確認する必要があります。
Cloudflare は、マネージド レスポンス ファイアウォールのデフォルト ルールで、信頼性の高い攻撃シグネチャに対するデフォルトのブロック ルールも展開します。ユーザーはセキュリティ分析インターフェイスにアクセスして、傍受されたリクエスト、一致するルール、および関連するパスを表示して、Web サイトが攻撃を受けているかどうかを理解できます。より詳細な制御が必要なお客様の場合は、管理対象ルール セットの範囲を調整することもできます。
ただし、Cloudflare は、WAF 保護は多層防御の一部としてのみ使用でき、公式の PHP パッチを置き換えることはできないと繰り返し強調してきました。 Web サイトで Cloudflare ファイアウォールが有効になっている場合でも、管理者はサーバー上で実行されている実際の PHP ソフトウェアをできるだけ早く更新する必要があります。その理由は、WAF は主に既知または検出可能な攻撃トラフィックを特定してブロックすることでリスクを軽減する一方、パッチが適用されていない PHP 実行環境には脆弱性自体が依然として存在するためです。攻撃者が新しい攻撃方法を採用した場合、またはリクエストが既存のルールによって正確に識別されなかった場合でも、システムは依然として危険にさらされる可能性があります。
アップグレードをすぐに完了できない組織の場合、Cloudflareは、不要なファイルアップロード機能を制限し、保持する必要があるアップロードインターフェイスに適切なファイルサイズ制限を設定しながら、WAF保護を有効にし続けることをお勧めします。これらの対策は、一部の攻撃経路の露出を減らすのに役立ちますが、脆弱性の問題を完全に解決することはできません。マネージド ホスティングを使用している Web サイトの場合、オペレーターが PHP のバージョンを直接管理できない場合は、できるだけ早くホスティング サービス プロバイダーに連絡して、公式のセキュリティ アップデートが展開されているかどうかを確認する必要があります。
Cloudflare は、セキュリティ分析チームが引き続き攻撃活動を監視し、攻撃者が採用した新しいテクノロジーとペイロードの亜種に基づいて保護ルールを更新すると述べました。同社はまた、PHP の脆弱性を修復しながら多層防御を形成する一方で、関連する WAF 保護を維持し続けることをユーザーに推奨しています。
この事件は、インターネット セキュリティ対応メカニズムの重要性を浮き彫りにしました。広範囲に影響を及ぼし、リモートから悪用される可能性のある根本的なソフトウェアの脆弱性については、更新速度、メンテナンス能力、サーバー管理方法が運営者によって大きく異なるため、パッチをリリースするだけでは、すべての Web サイトのセキュリティを即座に回復するのに十分ではありません。クラウド サービス プロバイダーは、パッチのリリースから大規模なインストールまでの貴重な時間を稼ぐために、事前に保護ルールを展開します。
しかし、長い目で見ると、最も信頼できる解決策は、やはり正式にリリースされた修復バージョンの PHP にアップグレードすることです。 Cloudflareの一時的な保護措置は、Webサイトに追加の障壁を提供できますが、すべての攻撃の亜種がブロックされることを保証することはできません。 PHP を実行している Web サイトの場合、基盤となるオペレーティング環境をタイムリーに修復し、ファイアウォール ルールを有効に保ち、異常なリクエストを継続的にチェックすることが、この php2shell の脆弱性に対処するための重要な手段となります。
関連記事:
PHP に重大なセキュリティ脆弱性が暴露され、世界中の Web サイト運営者が緊急にパッチ適用状態に入っています。
コメント