PHPコアの深刻な脆弱性「PHP2Shell」を北朝鮮系ハッカーが狙う…「世界規模の攻撃」準備の痕跡を確認

世界中のWebサイトで広く利用されているプログラミング言語「PHP」に、外部からサーバーを乗っ取られる恐れのある深刻な脆弱性が見つかり、北朝鮮系とみられるハッカーが日本を含む各国への攻撃に向けた準備を進めていることが分かった。 私が経営するサイバー脅威インテリジェンス企業CYFIRMA（サイファーマ）が、北朝鮮の国家支援型ハッカー集団「Lazarus（ラザルス）」のエコシステムに関連するとみられる攻撃者の活動を検知し、緊急の脅威アドバイザリを発表した。 今回問題となっているのは、「PHP2Shell」と呼ばれるPHPの2つの脆弱性「CVE-2026-109618」と「CVE-2026-109619」だ。いずれも深刻度を示すCVSS v4.0スコアは9.2とされ、認証を経ることなく外部から任意のコードを実行できるリモートコード実行につながる可能性がある。 PHPは動的なWebページやWebアプリケーションを構築するためのオープンソースのサーバー側スクリプト言語で、世界中で利用されている。W3Techsの2026年10月時点の調査では、サーバー側言語が判明しているWebサイトの約69.3％がPHPを使用している。WordPressやDrupalなど主要なコンテンツ管理システム（CMS）の基盤でもあり、脆弱性の影響範囲は極めて広い。 CYFIRMAの調査によると、暗号化ネットワーク「I2P」上にある閉鎖的なチャネルを監視した結果、10月22日、朝鮮語を使用する複数の脅威オペレーターが、世界各地のPHPインフラを対象とした大規模な偵察と攻撃について調整していることを確認した。 CYFIRMAは、この活動を議論が行われていたチャネル名にちなんで「June 2026 Minjun」キャンペーンと命名し、追跡している。 攻撃者が使用する言語や運用上の指示、過去の攻撃手法、標的の選定パターンなどを分析した結果、CYFIRMAは北朝鮮の偵察総局（RGB）傘下に位置するとされるLazarusグループのエコシステムと関連している可能性について、「中程度の確信度」と評価している。LazarusはAPT38、Hidden Cobra、ZINC、Diamond Sleetなどの名称でも追跡されてきた北朝鮮系のサイバー脅威主体だ。 今回の活動で特に注目されるのが、攻撃対象の選び方だ。インターネット上のサーバーを無差別に攻撃するのではなく、国や業種ごとに優先順位を設定し、標的を絞り込んでいるという。 最優先の「Tier 1」には、日本、米国、韓国、アラブ首長国連邦（UAE）、欧州連合（EU）、タイ、インドネシア、サウジアラビアなどの政府機関や銀行・金融機関が含まれる。 さらに「Tier 2」「Tier 3」には、製造業、物流、海運、港湾、空港・航空関連、オンライン取引プラットフォーム、建設業などが含まれている。単純な脆弱性スキャンではなく、国家や重要産業を狙った計画的な標的型攻撃につながる可能性がある。 PHP2Shellが危険視されている大きな理由は、WordPressやそのプラグインなど、PHP上で動作する個々のアプリケーションではなく、PHPランタイム自体に問題が存在することだ。 CVE-2026-109618とCVE-2026-109619はいずれも、PHPの「bailout」と呼ばれる非常脱出処理に関連するメモリ管理の不整合に起因する。 PHPがリクエストを処理している途中でエラーやリソース上限超過が発生すると、通常の処理を中断して脱出することがある。その際、PHP内部の状態が完全に初期化されないまま残ったり、すでに解放されたメモリ領域への参照が残ったりする場合がある。 問題は、同じWebサーバーのワーカープロセスが次のリクエストを処理するときに、この異常な状態を引き継ぐ可能性があることだ。 CVE-2026-109618では、リクエストがPHPの「memory_limit」を超過した際にアロケータから脱出し、その後のシャットダウン処理で未初期化の領域を参照する。攻撃者はmultipartパーサーを利用し、メモリ枯渇が発生するタイミングを意図的に操作できるという。特にデフォルト設定のApache mod_phpをprefork構成で使用している環境では、認証を必要としないRCEが確認されている。

世界中のWebサイトで広く利用されているプログラミング言語「PHP」に、外部からサーバーを乗っ取られる恐れのある深刻な脆弱性が見つかり、北朝鮮系とみられるハッカーが日本を含む各国への攻撃に向けた準備を進めていることが分かった。 私が経営するサイバー脅威インテリジェンス企業CYFIRMA（サイファーマ）が、北朝鮮の国家支援型ハッカー集団「Lazarus（ラザルス）」のエコシステムに関連するとみられる攻撃者の活動を検知し、緊急の脅威アドバイザリを発表した。 今回問題となっているのは、「PHP2Shell」と呼ばれるPHPの2つの脆弱性「CVE-2026-109618」と「CVE-2026-109619」だ。いずれも深刻度を示すCVSS v4.0スコアは9.2とされ、認証を経ることなく外部から任意のコードを実行できるリモートコード実行につながる可能性がある。 PHPは動的なWebページやWebアプリケーションを構築するためのオープンソースのサーバー側スクリプト言語で、世界中で利用されている。W3Techsの2026年10月時点の調査では、サーバー側言語が判明しているWebサイトの約69.3％がPHPを使用している。WordPressやDrupalなど主要なコンテンツ管理システム（CMS）の基盤でもあり、脆弱性の影響範囲は極めて広い。 CYFIRMAの調査によると、暗号化ネットワーク「I2P」上にある閉鎖的なチャネルを監視した結果、10月22日、朝鮮語を使用する複数の脅威オペレーターが、世界各地のPHPインフラを対象とした大規模な偵察と攻撃について調整していることを確認した。 CYFIRMAは、この活動を議論が行われていたチャネル名にちなんで「June 2026 Minjun」キャンペーンと命名し、追跡している。 攻撃者が使用する言語や運用上の指示、過去の攻撃手法、標的の選定パターンなどを分析した結果、CYFIRMAは北朝鮮の偵察総局（RGB）傘下に位置するとされるLazarusグループのエコシステムと関連している可能性について、「中程度の確信度」と評価している。LazarusはAPT38、Hidden Cobra、ZINC、Diamond Sleetなどの名称でも追跡されてきた北朝鮮系のサイバー脅威主体だ。 今回の活動で特に注目されるのが、攻撃対象の選び方だ。インターネット上のサーバーを無差別に攻撃するのではなく、国や業種ごとに優先順位を設定し、標的を絞り込んでいるという。 最優先の「Tier 1」には、日本、米国、韓国、アラブ首長国連邦（UAE）、欧州連合（EU）、タイ、インドネシア、サウジアラビアなどの政府機関や銀行・金融機関が含まれる。 さらに「Tier 2」「Tier 3」には、製造業、物流、海運、港湾、空港・航空関連、オンライン取引プラットフォーム、建設業などが含まれている。単純な脆弱性スキャンではなく、国家や重要産業を狙った計画的な標的型攻撃につながる可能性がある。 PHP2Shellが危険視されている大きな理由は、WordPressやそのプラグインなど、PHP上で動作する個々のアプリケーションではなく、PHPランタイム自体に問題が存在することだ。 CVE-2026-109618とCVE-2026-109619はいずれも、PHPの「bailout」と呼ばれる非常脱出処理に関連するメモリ管理の不整合に起因する。 PHPがリクエストを処理している途中でエラーやリソース上限超過が発生すると、通常の処理を中断して脱出することがある。その際、PHP内部の状態が完全に初期化されないまま残ったり、すでに解放されたメモリ領域への参照が残ったりする場合がある。 問題は、同じWebサーバーのワーカープロセスが次のリクエストを処理するときに、この異常な状態を引き継ぐ可能性があることだ。 CVE-2026-109618では、リクエストがPHPの「memory_limit」を超過した際にアロケータから脱出し、その後のシャットダウン処理で未初期化の領域を参照する。攻撃者はmultipartパーサーを利用し、メモリ枯渇が発生するタイミングを意図的に操作できるという。特にデフォルト設定のApache mod_phpをprefork構成で使用している環境では、認証を必要としないRCEが確認されている。

一方、CVE-2026-109619は、リクエストが異常終了した際にPHPのグローバルステートが解放済みメモリを参照し続ける「Use-After-Free」の脆弱性だ。後続のリクエストが初期化前にこの領域を読み込むことで悪用される可能性があり、「session.upload_progress」などのセッションアップロード進捗機能が主要な攻撃経路の一つとされる。 攻撃条件によっては、悪意あるリクエストを送信することで、Webアプリケーション本体のコードが動き始める前の段階で脆弱性を突ける可能性がある。このため、WordPressや個々のプラグインだけを最新版に更新しても、PHPランタイムそのものが脆弱なままであれば根本的な対策にはならない。 CYFIRMAが追跡する「June 2026 Minjun」の活動では、脆弱性を実際の攻撃手段へ転換するための高度な手法も確認されている。 攻撃者は公開された概念実証（PoC）コードやセキュリティ研究を収集し、独自に運用するローカルAIモデルを使って情報を自動的に選別、評価した上で、実験環境で検証を進めているという。こうしたAIの利用によって、脆弱性が公開されてから実際の攻撃手段として「兵器化」されるまでの時間が大幅に短縮される可能性がある。 偵察活動でも検知回避を重視している。大量のパケットを送り込む目立ったポートスキャンではなく、パッシブなバナー情報の収集などを通じて、脆弱なPHPを稼働させている可能性があるホストを絞り込んでいるとされる。WAFなどのセキュリティ監視システムに察知される可能性を低くする狙いがあるとみられる。 攻撃の目的も一つではない。Lazarusをはじめとする北朝鮮系サイバー攻撃では、情報収集を目的とする国家的なスパイ活動と、暗号資産などを狙った金銭獲得活動の双方が確認されてきた。 今回のPHP2Shellでも、侵入したサーバーへのアクセス権の売買、暗号資産の窃取、ランサムウェアの事前配置、認証情報や機密情報の窃取、長期的なスパイ活動などに利用される可能性がある。侵害したシステムの性質によっては、最終的にデータやシステムを破壊する攻撃へ発展するリスクもある。 CYFIRMAはPHPを使用する組織に対し、PHPを修正済みのサポートバージョンである「8.5.12」「8.4.27」「8.3.36」「8.2.35」以降へ直ちに更新するよう求めている。 特に重要なのが、パッチを適用した後の対応だ。ApacheやPHP-FPMなど、稼働しているすべてのPHPワーカープロセスを完全に再起動する必要があるという。設定をリロードするだけでは古いワーカープロセスが残り、メモリ上に異常な状態が残存する可能性がある。 すでにサポートが終了しているPHP 8.1以前については公式パッチが提供されないため、該当するシステムについては隔離やサポート対象バージョンへの移行が必要になる。 すぐにパッチを適用できない環境では、CVE-2026-109618への暫定的な対策として「memory_limit = -1」の設定や、リバースプロキシによるリクエストサイズ、ヘッダー数の制限、「max_input_nesting_level = 32」の設定、cgroupなどを利用したメモリ保護が挙げられている。 CVE-2026-109619については「session.upload_progress.enabled = 0」としてセッションアップロード進捗機能を無効化するほか、「pm.max_requests = 1」の設定も暫定策として検討される。 CYFIRMAは同時に、すでに攻撃を受けていないか確認するため、10月17日以降のログを遡って調査することも推奨している。 具体的には、本来ファイルのアップロードに使用されないエンドポイントへの不自然なmultipart POSTリクエスト、「Allowed memory size exhausted」や「SIGSEGV」といったPHPワーカーの異常終了、PHPプロセスから「sh」「bash」「curl」「wget」などが起動された形跡などが重要な調査対象となる。 侵害が疑われる場合には対応の順序にも注意が必要だ。特にCVE-2026-109619に関連する異常な状態はメモリ上に存在するため、PHPワーカーを再起動するとフォレンジック調査に必要な証拠が失われる可能性がある。 このためCYFIRMAは、侵害の疑いがあるシステムについては、ワーカープロセスを再起動する前にメモリダンプを取得し、関連するログなどの証拠を保全することを求めている。 PHPは世界のWebインフラの大きな部分を支える基盤技術だ。そのランタイム自体を狙う脆弱性は、特定のCMSやWebサービスだけに影響する問題とは性質が異なる。 さらに今回、北朝鮮系とみられる攻撃者が日本を含む国や政府・金融機関などを優先標的として選定し、公開された脆弱性情報を実際の攻撃手段へ転換しようとしている可能性が浮上した。 PHPを利用する企業や政府機関にとっては、単なるソフトウェア更新ではなく、すでに侵入を試みられていないかを含めた緊急の点検が必要な状況となっている。