緊急 PHP・Laravel2026.10.29

PHP2Shell とカーネルの欠陥の連鎖で25台が root 化、PHP と Linux の両方を更新

CVE-2026-109618 CVE-2026-109619 CVE-2026-46300CVSS 9.2

重要ポイント

何が起きたか: イスラエルの Dream が、PHP2Shell と Linux カーネルの権限昇格(CVE-2026-46300)を組み合わせた攻撃を報告
被害: 米国・日本・台湾・韓国の計25台が root 権限を奪われ、うち3台は米国政府関連の環境
深刻度: PHP2Shell は CVSS 9.2(認証不要の遠隔コード実行)、カーネルの欠陥は CVSS 7.8
対処: PHP を 8.5.12・8.4.27・8.3.36・8.2.35 以降に更新し、カーネルも最新にして再起動
公表日: 2026年10月28日(攻撃の観測は10月25日)

バージョンと対処(まずここを確認)

製品	影響を受けるバージョン	修正版(これ以上にする)
PHP 8.5	8.5.12 より前	8.5.12
PHP 8.4	8.4.27 より前	8.4.27
PHP 8.3	8.3.36 より前	8.3.36
PHP 8.2	8.2.35 より前	8.2.35
Linux カーネル(CVE-2026-46300)	AL2023 では修正前のカーネル	AL2023 は ALAS2023-2026-1710 で修正済み(2026年5月15日)

対処: PHP を上の修正版以降にします。Amazon Linux 2023 では sudo dnf update --security のあと、カーネルは再起動して反映します。更新できない間は session.upload_progress.enabled=0 を設定してワーカーを再起動します(JPCERT/CC の緩和策)。

確認: php -v、rpm -q kernel、uname -r。再起動後の uname -r が新しいカーネルになっているか確かめます。

概要

2026年10月28日、イスラエルのセキュリティ企業 Dream は、中国系と疑われる攻撃者が PHP2Shell(CVE-2026-109618・CVE-2026-109619)と Linux カーネルの権限昇格の欠陥(通称 Fragnesia、CVE-2026-46300)を組み合わせ、米国・日本・台湾・韓国の25台のサーバーを root 化したと報告しました。PHP の更新だけでなく、カーネルの更新も済ませているかを確認してください。

影響と対処

影響を受けるもの

報告によると、被害を受けた25台のうち3台は米国政府関連の環境で、1台は root 化後にクラッシュして復旧していません。別の1台は内部ネットワークへの足がかりに使われた可能性があるとされます。認証情報の窃取などが成功したかは不明で、被害の全容は確定していません。被害組織や、影響を受けたファイアウォールのベンダー名は公表されていません。被害機器は PHP 8.0.30 を使っていたと書かれています。

どんな問題か

PHP2Shell は、認証なしで遠隔からコードを実行できる欠陥です。実行できたあとに、カーネルの欠陥で一般ユーザーから root へ権限を上げる連鎖が使われました。PHP の更新が遅れた機器は、カーネルが古いと被害が root まで広がります。

対処方法

PHP を修正版へ更新し、カーネルも更新します。PHP 8.1 以前には更新版が出ないため、サポート中の版へ移行します。JPCERT/CC は、悪用を試みる通信の観測が相次いでいることを注意喚起に追記しています。

確認方法

JPCERT/CC は、異常に長い PHPSESSID の Cookie、不審な multipart/form-data のリクエスト、PHP ワーカーの異常終了や頻繁な再起動がないかをログで確認するよう案内しています。痕跡がなくても攻撃を受けていないとは言い切れないため、不審なプロセスや外部への通信も確認します。