Enki Whitehat、PHP2Shell脆弱性の無料診断ツール公開

セキュリティ企業のEnki Whitehatは2026年10月23日、PHP本体のリモートコード実行（RCE）脆弱性「PHP2Shell」への露出を確認する無料の診断スキャナーを公開した。対象はCVE-2026-109618とCVE-2026-109619の2件。同社の発表としてdigitaltoday.co.krが報じた。

スキャナーは実際の攻撃コードを使わず、PHPのバージョンと関連設定から一次的なリスク判定を行う。ウェブページに対象URLを入力するだけでログイン不要で利用でき、OFFen ASMを導入していない企業には無償で提供される。

2件の脆弱性の原因と対策を解析

同社はあわせて解析レポートを公開した。CVE-2026-109618はメモリ枯渇時の状態保持が不完全である点、CVE-2026-109619は前回リクエストの状態再利用による解放後使用（use-after-free）が根本原因だとしている。影響を受けるシステムとバージョン、緩和策、公式パッチの指針もまとめた。

今後は外部に露出した資産の特定・管理手法や、新たな脆弱性への迅速な対応方法について続報を出す予定だ。

Enki WhitehatのCEOは、PHP2Shellのような影響の大きい脆弱性では、攻撃者より先に露出資産を把握して対処する「ゴールデンタイム」の確保が重要だとコメントした。