PHPの重大RCE 2件、Unit 42が2,260万台の露出とAI悪用を報告

何が発表されたか

Palo Alto Networks の Unit 42 が2026年10月23日、PHP の脆弱性2件についての脅威ブリーフを公開した（同日12:30 PT に、エージェント型AIによる侵入後の活動とハンティング用クエリを追記）。

• 対象は CVE-2026-109618 と CVE-2026-109619。いずれも遠隔コード実行（RCE）で、CVSS 4.0 で 9.2。通称は PHP2Shell。
  • CVE-2026-109618: longjmp() を経由したメモリ不足（OOM）エラー処理により、リクエストのメモリが未初期化のまま残る。OOM を発生させることで安定してRCEに至る。
  • CVE-2026-109619: 致命的エラーの処理が longjmp() を経由するため、グローバルメモリが解放済み領域を指したまま残り、後続のリクエストがそれを読んだり分岐に使ったりすることで任意コード実行につながる。
• Unit 42 は実証コード（PoC）を確認済み。欧州のある政府機関は予防措置として自サイトを停止した。
• 欧州の政府機関に対し、エージェント型AIの攻撃基盤を使った攻撃が観測されている。最初の侵入から2時間以内に、パスワードハッシュと多要素認証のシークレットへのアクセス、Active Directory への NTLM リレーのトンネル構築、Domain Admin への権限昇格の試行が行われた。
• Unit 42 の Cortex Xpanse は、公開時点で2,260万台超の露出インスタンスが影響を受ける可能性があると判定している。
• なお影響を受ける PHP のバージョン一覧はこのブリーフには記載がなく、PHP Group のセキュリティアドバイザリを参照するよう案内されている。

取るべき対応

影響を受けるのは、PHP が動く公開Webサーバーを運用しているすべての事業者です。WordPress や EC サイト、自社開発のPHPアプリ、レンタルサーバー上のサイトも含まれます。

• 直ちにパッチを適用する。 PHP Group のセキュリティアドバイザリの案内に従い、修正版へ更新する。優先度は最上位として扱うべき内容。
• 自社の露出状況を確認する。 インターネットから到達できる PHP のホストを棚卸しし、更新漏れがないか確認する。管理画面やステージング環境が公開されたままになっていないかも含めて見る。
• 侵害の痕跡を探す。 Unit 42 はブリーフ内で Cortex XDR の XQL クエリを公開している。また NGFW の脅威ログで Threat ID 543004 と関連シグネチャを確認するよう案内している。
• Palo Alto Networks 製品を使っている場合は、Advanced Threat Prevention（シグネチャ 543004、97622〜97625）と Advanced Threat Prevention Plus の Frontier Virtual Patching が有効になっているか確認する。
• 侵害が疑われる場合は、Unit 42 のインシデントレスポンスチームに連絡するよう案内されている。

攻撃から権限昇格までが2時間という速さが報告されているため、「更新は次の定期メンテナンスで」という判断は避けたい内容です。