PHP2Shellセキュリティ事態まとめ

事態の概要

認証なしでサーバーが破られます。世界のWebサイトの最大70%が対象です（報道）。

PHPエンジンそのものの欠陥なので、サイトをどれだけ丁寧に作っていても関係ありません。公開された攻撃コードと攻撃の試みがすでに報告されています。

10/17Amazonの検知網で最初の攻撃の試み。公式発表の4日前
10/20脆弱性の詳細がオンラインに流出
10/21PHPが緊急パッチを公開（8.5.12・8.4.27・8.3.36・8.2.35）。公開攻撃コードが登場、悪用の試みは数百万件（報道）
10/22韓国政府、民間サイバー危機警報を「関心」から「注意」に引き上げ

何が危険か

ログインなしで遠隔乗っ取り

細工されたリクエスト1つでサーバー上の任意のコマンドが実行されます。Webシェルの設置、顧客情報の流出、サイトの改ざん、社内ネットワークへの侵入につながります。

誰が対象か

PHP 5.4 〜 8.5.11

2012年以降のほぼすべてのPHP。Gnuboard・Youngcart・WordPress・Rhymix・独自開発のサイトがすべて該当します。

なぜ今なのか

攻撃コードはすでに公開

公開された攻撃コードによる攻撃の試みが続いています。アップデートだけでは終わらず、Webサーバー（PHP-FPM・Apache）を再起動して初めて反映されます。

安全基準バージョン 8.5.128.4.278.3.368.2.35 以上＋ Webサーバーの再起動

PHP 8.1以下には公式パッチがありません。8.2も2026年末でサポートが終わるため、8.3以上への移行をおすすめします。アップデート後にWebサーバーを再起動しないと、以前のバージョンが動き続けます。

放置すると

「うちのような小さな会社を誰が狙う？」
攻撃は人が選んでいるのではありません。

攻撃は相手を選ばず、インターネット全体に対して大量に試みられています（悪用の試み数百万件、報道）。韓国国内だけでも、脆弱なバージョンのPHPが入ったサーバーは約11万台と推定されています（AhnLab調査、パッチ配布前の時点）。政府の緊急案内は情報保護最高責任者（CISO）を届け出た企業などを中心に伝えられており、中小事業者は自分で対応する必要があります。

72時間

個人情報の流出を知った場合は72時間以内に顧客へ通知し、ハッキングによる流出であれば個人情報保護委員会またはKISAに届け出なければなりません。

最大3,000万ウォン

流出の届け出をしないと過料の対象になります。

売上高の最大3%

安全措置を尽くさずに流出した場合、売上高全体の3%以下の課徴金が科されることがあります。

根拠：韓国「個人情報保護法」第34条・第64条の2・第75条、同法施行令第39条・第40条（韓国法制処「生活法令情報」、個人情報保護委員会）

パッチを当てれば終わり？いいえ。

政府は、アップデートを終えたサーバーでも不審なアクセス記録とWebシェルの設置有無を別途点検するよう勧告しています。パッチ前にすでに侵入したハッカーは、パッチでは追い出せません。

自分のサイトも該当する？

ひとつでも当てはまれば、今まさに危険です。

こんなサイトは今日対応が必要です

Gnuboard・Youngcart・WordPress・Rhymixで作ったサイト
外注先が制作し、管理者がいないWebサイト・ネットショップ
サーバーホスティング・VPS・クラウド・自社サーバーで運用
PHP 5.x・7.x・8.1以下の古いバージョンを使用
会員・注文・決済情報を保管しているサイト
最近遅くなった、500エラーが出る、見覚えのないファイルがあるサイト

Webホスティングでも安心できない理由

PHP 8.1以下には公式アップデートがないため、ホスティング会社がどこまで対応したかを別途確認する必要があります
アップデート後にWebサーバーを再起動しないと、以前のバージョンが動き続けます
ホスティング会社のパッチ前にすでに仕込まれたハッキングファイル（Webシェル）は、パッチ後もそのまま残ります
ホスティング会社が管理するのはサーバーだけです。自社サイトのファイルと管理者アカウントの点検は運営者の役目です
10/17から攻撃の試みが観測されており（Amazon報告）、パッチ前の露出期間がありました

出典：KISA ボホナラ（KrCERT） · デジタルタイムス（科学技術情報通信部発表） · The Fact · Help Net Security · Vercel

古いPHP、入れ替えます。20ページまで30万ウォン。