php2shell：Vodlix はいかにして PHP の脆弱性に先手を打ったか

php2shell とは、研究者が PHP の 2 つの重大な脆弱性に付けた名前で、これらは 2026 年 10 月 21 日に公表されました。攻撃者が Web サーバー上で任意のコードを実行できるおそれがあり、世界中のサイトが急いでアップデートに追われました。Vodlix では、ニュースが広まる前にシステムの保護とパッチ適用が完了しており、お客様に対応をお願いする必要はありませんでした。

php2shell とは何か

php2shell は、PHP のメモリとエラーの扱いに関する 2 つの関連するバグで、CVE-2026-109618 および CVE-2026-109619 として登録されています。条件が揃えば、攻撃者はログインせずにサーバー上でコードを実行できる可能性がありました。PHP Foundation はこれらを重大（critical）と評価し、2026 年 10 月 21 日に修正をリリースしました。

公表後の展開は速く、数時間で攻撃の試行は数百万件に達し、一部の政府機関や商用サイトは予防的にオフラインになりました。MediaNama が報じたとおりです。

Vodlix はどう対処したか

何かが起こる前に、私たちは 3 つの層で保護されていました。

Zain Jamil と私たちのチームは、一般公開に先立ち、Vodlix で唯一 PHP を使用しているミドルウェアの PHP にパッチを適用しました。すべての Vodlix クラウド、つまりすべてのお客様プラットフォームが更新済みです。お客様側での対応は一切不要でした。

今後の対応

私たちはシステムのさらなる強化を計画しており、次に同様の脆弱性が現れたときには、近づく前により多くの防御層に阻まれるようにします。マネージドプラットフォームでは、セキュリティ更新はお客様ではなく私たちの仕事です。

自分で PHP を運用している場合はどうすべきか

Vodlix 以外で PHP を実行しているサイトがある場合は、今日中に対応してください。

1. 古いサイトも含め、PHP を実行しているすべてのサーバーとホスティングプランを把握する。

2. お使いの PHP バージョン向けのセキュリティ更新をインストールするか、ホスティング事業者に依頼する。

3. 各プロバイダーのアドバイザリを確認する。たとえば AWS のセキュリティ速報など。

セキュリティ更新が提供されなくなった PHP バージョンで稼働しているサイトがある場合は、今すぐアップグレードを計画してください。

セキュリティをお任せにしませんか

このような更新をお任せにしたい場合は、Vodlix がお客様のプラットフォームのために運用しているものをご覧になるか、デモをご依頼ください。セキュリティに関するお問い合わせは [email protected] までお送りください。