Fortinet、PHP2Shell脆弱性の対応ガイドを公開
PHPランタイムの重大な脆弱性2件に対し、Fortinetが特定・更新・緩和・侵害調査の4段階をまとめた対応ガイドを発表した。
Fortinetは2026年10月27日、PHPランタイムの重大なリモートコード実行脆弱性に対する対応ガイドを公開した。脆弱性は「PHP2Shell」と呼ばれ、CVE-2026-109618とCVE-2026-109619の2件が該当する。
2件はいずれもCVSS 4.0で10段階中9.2と評価され、重大（クリティカル）に分類されている。攻撃者は認証なしで、影響を受けるサーバー上で遠隔からコードを実行できる。
Fortinetのガイドは4つの手順で構成される。影響を受ける環境の特定、更新プログラムのテストと適用、一時的な緩和策の実施、侵害の兆候の調査だ。FortiGuard Labsは、組織がPHPを更新するまでの間、仮想パッチとIPSシグネチャを配布して露出を減らす。
Censysによると、影響を受ける可能性のあるPHPのバージョンを稼働させているインターネット接続サービスは約3670万件に上る。
CMS更新だけでは防げない
脆弱性はPHPランタイム自体に存在するため、CMSやプラグインのみを更新しても修正されない。PHPがWordPress、Drupal、Joomla、Magentoといった広く使われるウェブサイト基盤を支えていることは、2026年10月時点でも変わらない。
よくある質問
PHP2Shellとは何ですか？
PHPランタイムの脆弱性CVE-2026-109618とCVE-2026-109619の総称で、CVSS 4.0で9.2と評価された重大なリモートコード実行の欠陥です。
CMSやプラグインの更新だけで対策できますか？
いいえ。脆弱性はPHPランタイム自体にあるため、Fortinetは影響環境の特定やPHPの更新、緩和策の適用を求めています。