HBLAB、PHP2Shell受け脆弱性点検の4手順を公開

HBLAB JAPAN（エイチビーラボジャパン）は2026年10月30日、企業が既知の脆弱性への対応状況を確認するための「セキュリティ点検チェックリスト」を公開した。10月21日にPHP開発元が修正版を提供した重大な脆弱性「PHP2Shell」を背景に、PHPだけでなく、アプリケーションの実行環境や依存ライブラリ、サーバー設定までを対象にしている。今回の発表は新たな脆弱性の発見ではなく、既知の問題を見落とさないための管理手順の整理だ。

PHP2Shellを受け、構成情報の棚卸しを提案

PHP2Shellは「CVE-2026-109618」と「CVE-2026-109619」の2件を指す。PHP開発元は10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35を修正版として案内した。JPCERT/CCも22日に注意喚起を出し、29日に更新。悪用された場合にはPHPの実行権限で任意のコードを実行される可能性があるとして、修正適用と侵害調査を呼びかけている。

点検の4ステップと対象範囲

第1段階は稼働システムの棚卸し。PHP、.NET、Node.jsなどのランタイム、フレームワーク、直接・間接に利用するライブラリ、OSやWebサーバーのバージョンを確認する。社内ツールや検証環境も対象に含め、SBOM（ソフトウェア部品表）などで構成を継続管理する考え方だ。公開サイトだけを調べて終了する運用では、内部の未対応資産が残る可能性がある。

第2段階はリスク評価。脆弱性の深刻度だけでなく、悪用事例の有無、攻撃に必要な条件、インターネット公開状況、業務への影響を合わせて優先順位を決める。第3段階では修正版への更新や設定強化を実施し、サポート終了製品は移行も検討する。HBLABはWAFなどの緩和策を恒久的な修正の代わりにしないよう注意を促している。

修正後も再診断と侵害調査が必要

第4段階は対策の有効性確認だ。再スキャンで脆弱性の解消を確認し、回帰テストで既存機能への影響を点検する。さらに修正前のログや不審な挙動を調べ、認証情報が漏えいした可能性がある場合はパスワードやAPIキーなどの変更を検討する。単にアップデートが成功したことと、侵害されていないことは同義ではない。

HBLABは、ランタイムやフレームワークのバージョン把握、依存関係の管理、サポート終了版の把握、定期的な脆弱性スキャン、新しいCVEが出た際の影響範囲特定という5項目の簡易セルフチェックも示した。同社はアセスメントに関する無料相談も受け付けるが、チェックリストの公開自体と有償サービスの導入は別の話となる。

PHP開発元は、今回の2件について一時的な設定変更だけでは完全な対策にならず、修正版への更新が必要だと説明している。影響を受けるかどうかはPHPの版数や実行環境、製品ベンダーの対応によって異なる。管理者は公式の注意喚起と自社の構成を照合し、更新後の動作確認と過去の侵害有無の調査を分けて進める必要がある。