PHP2Shell の攻撃はもう始まっている？各社の観測と、食い違う報告（10月23日時点）

「PHP2Shell はもう悪用されているのか」は、対応を急ぐかどうかを決める大事な問いだ。ところが、セキュリティ会社の報告は食い違っている。誰が何を言っているのかを並べ、分かっていることと分かっていないことを分けて整理した。

各社の報告

なぜ食い違うのか

「試み」と「成功」は違う

おとりのサーバーに攻撃の送信が届けば、「試みを観測した」と言える。それが実際のサイトで成功したかどうかは、別の話だ。今のところ、成功した事例を具体的に示した報告は見当たらない。

見ている場所が違う

おとりのサーバーを世界中に置いている会社は、試みを早く見つけやすい。一方、取引先のシステムを守る会社は、そこに攻撃が来なければ「見ていない」と答える。どちらも、自分の見える範囲では正しい。

時間で変わる

watchTowr のように、同じ日のうちに見解を改めた会社もある。脆弱性の公表から数日は、状況が時間単位で変わる。

分かっていること・分かっていないこと

攻撃が成功すると何が起きるか

成功すれば、PHP が動いている権限で、外からプログラムを動かされる。サイトの書き換え、不正なファイルの設置、データベースの中身の持ち出しなどにつながる。動かされるプログラムの権限は Web サーバーの利用者（www-data など）だが、そこからさらに奥へ進まれることもある。

今やること

1. PHP の版を確かめる。修正版（8.5.12・8.4.27・8.3.36・8.2.35）以上か
2. 8.1 以前なら、8.4 か 8.5 への移行を急ぐ。それまでは、サーバー会社の独自の修正が入っているかを確かめる
3. 修正前に狙われていないかを確かめる（ログで見る所）
4. 心配なら、パスワードと鍵を変える

よくある質問

PHP2Shell で実際に被害は出ていますか？

攻撃の試みは複数の会社が観測していますが、10月23日時点で、侵入に成功した事例は公には確認されていません。
状況は変わるので、IPA や JPCERT/CC の情報を見てください。

攻撃が確認されてから対応しても間に合いますか？

おすすめしません。
中身が漏れた脆弱性は、攻撃の道具が出回るのが早いです。
確認されたときには、すでに狙われたあとかもしれません。

どんなサーバーがいちばん狙われやすいですか？

Apache に PHP を組み込む mod_php の方式が、いちばん危ないとされています。
PHP-FPM でも対象なので、修正版への更新は必要です。

無料ツールPHP2Shell の無料診断PHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• watchTowr：PHP2Shell FAQ（英語）
• The Hacker News：PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws（英語）
• Huntress：Rapid Response: php2shell（英語）
• Elastic Security Labs：php2shell の検知（英語）
• Tenable：PHP2Shell のよくある質問（英語）
• Datadog Security Labs：PHP2Shell の分析（英語）
• JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（JPCERT-AT-2026-0033）