PHP2Shellの更新を確認｜名古屋の中小企業が見るサーバーと機器

IPAが11月2日に加えた確認ポイント

IPAによると、PHP2ShellはPHPのメモリ不足時の処理などに関係する2件の脆弱性です。悪用されると、遠隔の第三者が認証なしで任意のコードを実行するおそれがあります。CISAは10月26日、悪用を確認した脆弱性の一覧に掲載しました。IPAは11月2日の更新で、PHPがVPN機器やセキュリティ製品のWeb画面にも使われる点を追記し、製品の開発元が出す対策情報を確認するよう案内しています。

PHP公式は修正版として8.2.35、8.3.36、8.4.27、8.5.12を案内しています。古い版や機器組込み版は配布元によって対応が異なるため、版数だけで判断せず製品の案内を確認します。

名古屋・愛知の中小企業が確認する3つの場所

自社サイトや業務システムがあれば、保守会社にPHPの利用有無、版数、更新予定を確認します。共有サーバーでは利用者が直接更新できない場合もあるため、提供会社の案内に沿って進めましょう。

VPN機器、ファイアウォール、セキュリティ製品、NASなど外部接続機器も一覧にします。内部のPHP版が見えなければ、型番とファームウェアを控えてメーカーや保守先へ影響有無、修正版、更新担当を問い合わせます。

すぐに更新できない場合は、提供元の暫定策と適用条件を確認します。設定変更や機器停止を独断で行わず、対応と作業日を記録しましょう。

今日できる小さな一歩

機器一覧に「製品名・型番・保守先・確認日」を記し、外部接続機器から埋めます。担当者が不明なら購入記録や契約を見て、問い合わせ先を特定します。台帳が次の更新確認にも役立ちます。

脆弱性情報が出た時の担当者や連絡順は、名古屋の中小企業向け初動対応の記事でも紹介しています。自社サイトの更新担当や保守先が分からない場合は、株式会社OZ.への相談窓口から状況をお聞かせください。

まとめ

PHP2Shellの確認先は、自社サーバーだけとは限りません。名古屋・愛知の中小企業も、機器や製品の保守先までたどり、対象と更新方法を一つずつ確認しましょう。

出典：IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年11月2日更新）、PHP公式セキュリティリリース情報、CISA Known Exploited Vulnerabilities Catalog。