PHP2Shellの報道と、一次情報で、合っていなか⁠っ⁠た⁠点

PHPの脆弱性「PHP2Shell」を使った攻撃で、ファイアウォールが侵害された、という報道が、2026年10月29日に出ました。事実です。Palo Alto自身も、同じ日に、悪用を確認したと更新してい⁠ま⁠す⁠。

ただ、見出しや要約と、原文を並べると、合わない点がありました。この記事は、その点を、一次情報で確認して整理したものです。情報は、2026年10月29日の時点のもの⁠で⁠す⁠。

日本語で出回っている情報には、原文と異なる訳や要約が、かなり見受けられます。この記事は、一次情報を私たちも原文で確認して書いていますが、読者の皆さんも、各社の原文でのご確認をお勧めし⁠ま⁠す⁠。

先に、事実として確認でき⁠た⁠こ⁠と

• Palo Alto Networksは、「インターネットに公開された管理画面に対して、悪用されている」と書いています（Unit 42の脅威情報、10月29日更⁠新⁠）⁠。
• 同社の脆弱性情報は、10月27日に、深刻度を最高に引き上げ、「悪用が確認されている」としています（Palo Altoの脆弱性情⁠報⁠）⁠。
• Dreamは、PHP2Shellと、LinuxカーネルのCVE-2026-46300を連鎖させ、PAN-OSでroot権限を取った、と報告しています。24台で権限を取り、そこから管理サーバー1台に入り、合計25台です（Drea⁠m⁠）⁠。
• Palo Altoは、Dreamの報告と同じ攻撃者の道具を、独自に確認した、としています（Unit 42の脅威情⁠報⁠）⁠。
• 米CISAは、10月28日に、このカーネルの欠陥を、悪用が確認された脆弱性（KEV）に登録しました。注記には、PHP2Shellと連鎖して、rootでコマンドを実行できる、とあります（CISAのKEVのデータを、私が直接確⁠認⁠）⁠。

合っていなか⁠っ⁠た⁠点

1. 「4カ国で25台が⁠侵⁠害⁠」

ある報道の見出しは、「日本含む4カ国のサーバ25台が侵害」という趣旨でした。Dreamの報告では、米国、日本、台湾、韓国は、攻撃者が標的にした240台の国です。侵害された25台が、4カ国に分かれていたかは、私が確認した範囲では、原文に書かれていま⁠せ⁠ん⁠。

数の出どころも、違います。25台という数は、Dreamの報告のものです。JPCERT/CCの注意喚起には、製品名も台数も書かれていません。参考情報として、Dreamの記事の題名が挙げられているだけです（JPCERT/C⁠C⁠）⁠。

2. 「世界中のファイアウォールが危⁠な⁠い⁠」

Palo Altoの説明では、影響を受けたのは、インターネットに公開された管理画面を持つ機器で、導入台数の約0.02%です。該当のお客様には、個別に連絡した、とのことです。管理画面は、初期設定では公開されません（Unit 42の脅威情報）。この数字は、Palo Altoの説明で、独立した検証はありま⁠せ⁠ん⁠。

一方で、「12.1と12.2だけが危ない」と読むのも、間違いです。Dreamは、標的が12.1と12.2だった、と書いています。Palo Altoの脆弱性情報では、10.2から12.2までが、修正の対象です（Palo Altoの脆弱性情⁠報⁠）⁠。

3. 「AIが書いた⁠攻⁠撃⁠」

Dreamは、AIが書いた直接の証拠はない、と書いています。コードの作りから、AIの支援がありそうだ、という見方を示しているだけ⁠で⁠す⁠。

Unit 42は、10月23日に、AIを使った攻撃後の活動の詳細を追記しましたが、25日に取り消しました。欧州の政府機関での侵害が、PHP2ShellのCVEと結びつくことを、確認できなかったためです（Unit 42の脅威情⁠報⁠）⁠。

4. 「新しいカーネルの⁠欠⁠陥⁠」

CVE-2026-46300は、今回、新しく見つかった欠陥ではありません。5月には、すでに公表されており、悪用されているという解説も出ていました（Qualys）。10月28日に動いたのは、CISAのKEVへの登録⁠で⁠す⁠。

5. 早い段階の報告は、訂正⁠が⁠出⁠る

この1週間だけでも、Sophosが、10月23日に、成功した悪用の報告を、同日に訂正しました（Sophos）。Unit 42も、上に書いたように、取り消しを出しています。報道が引いた時点の原文と、今の原文が、すでに違うことがあり⁠ま⁠す⁠。

まだ分かっていな⁠い⁠こ⁠と

• Dreamが、ADの資格情報への攻撃が成功したかは、回収できた資料からは不明です。Dreamは、被害の全体は判断できない、と書いてい⁠ま⁠す⁠。
• 25台の国別の内訳は、確認できていま⁠せ⁠ん⁠。
• LinuxカーネルのCVE-2026-46300について、ディストリビューションごとの修正版の番号は、確認できていま⁠せ⁠ん⁠。
• PAN-OS 11.1.7のホットフィックスは、10月29日の時点で、予定が10月30日で⁠し⁠た⁠。

自分の環境で、確認す⁠る⁠こ⁠と

PAN-OSを使っていない場合、この件の直接の対象ではありません。使っている場合は、次の順⁠で⁠す⁠。

1. 管理画面を、インターネットに公開していないかを確認します。公開しているなら、外します。信頼できる内部のアドレスだけに、限り⁠ま⁠す⁠。
2. Palo Altoの脆弱性情報の表で、使っているバージョンの修正版を、確認し⁠ま⁠す⁠。
3. 侵害の痕跡を調べます。Dreamは、/unauth/php/change_password.phpというウェブシェルと、/usr/local/lib/.panops/というディレクトリを、挙げています（Drea⁠m⁠）⁠。
4. 疑いがあれば、Palo AltoのUnit 42などの専門家に、相談してくだ⁠さ⁠い⁠。

PHPを自社で動かしている場合は、PHPの更新がまだの人へに、確認の手順をまとめています。技術的な詳細は、エンジニア向けのまとめ⁠で⁠す⁠。

報道の⁠読⁠み⁠方

数字を見たら、誰の数字かを確認してください。見出しの数字が、報告者の数字か、公的機関の数字か、報道が足した数字か、で重みが変わります。原文の更新日も、確認してください。注記の欄に、「分かっていないこと」が書かれていることが、よくあり⁠ま⁠す⁠。

関⁠連⁠記⁠事

• Linuxカーネルの深刻度9.8の欠陥――AIが実証した攻撃の条件と、ディストリビューションごとの修正状況：見出しの数字と一次情報を並べて読んだ、もう一つの例。Linuxカーネルの深刻度9.8⁠の⁠欠⁠陥
• GitLabの深刻な欠陥は、2件ある――10月12日の修正版では足りない理由と、確認すること：同じ週の、GitLabの深刻度10.0の欠陥。一次情報を軸に整理し⁠ま⁠し⁠た
• Adobe Commerce・Magentoの欠陥が、悪用確認の一覧に――修正は7月、攻撃の報告は3月から。確認する場所：報道の「953店舗」は、一次情報では、何の数字だったか。Adobe CommerceとMagent⁠o⁠の⁠件
• アメリカでサイバーセキュリティの資格を取る道筋――段階ごとの試験と、受験料・学習費用（2026年10月時点）：一次情報で確認する習慣を、仕事にするための資格。アメリカでの道筋⁠と⁠費⁠用

ご不明な点があれば、お問い合わせくだ⁠さ⁠い⁠。