PHP2Shell の概要
9.2CVSS スコア、認証前 RCE
~70%のウェブサイトが PHP（Wiz）
10 年以上5.4 以降のすべての PHP に存在
63 日発見からパッチまで
PHP エンジン自体にある 2 つの CVE（CVE-2026-109618、CVE-2026-109619）により、未認証の攻撃者がコードを実行したりサーバーのメモリを読み取ったりできます。アプリ側のバグは不要です。 Wiz Research は最先端 AI でこれらを発見し、WordPress、Drupal、Joomla で動作するエクスプロイトを実証しました。
攻撃は PHP に届く必要がある。OpenNHP はそれを阻む。
PHP2Shell の攻撃チェーンはすべて未認証リクエストから始まります。OpenNHP の背後では、そのリクエストは PHP に届く前に破棄されます。
パッチ適用の競争
攻撃者はパッチより先にエクスプロイトを手にしていました。隠れたサーバーはこの競争に勝つ必要がありません。
パッチ vs. WAF vs. OpenNHP
| PHP にパッチ | WAF ルール | OpenNHP | |
|---|---|---|---|
| CVE 公開前から有効 | ✕ | ✕ | ✓ |
| エクスプロイトのシグネチャが必要 | — | はい | いいえ |
| 未認証 RCE を阻止 | ✓ 適用後 | ~ 既知の亜種 | ✓ |
| メモリ漏洩を阻止 | ✓ 適用後 | ~ 既知の亜種 | ✓ |
| スキャナーからサーバーを隠す | ✕ | ✕ | ✓ |
| バグ自体を修正 | ✓ | ✕ | ✕ |
両者は補完し合います。OpenNHP は未認証の攻撃経路をなくし、パッチはバグをなくします。パッチは必ず適用してください。
OpenNHP が適する場所
✓ OpenNHP の背後に隠す
- 管理画面（
/wp-admin、Drupal 管理） - 社内 PHP アプリやバックオフィス
- 既知のクライアント向け API
- ステージング・管理サーバー
公開が必要なもの
- 匿名訪問者向けサイト
- 最優先でパッチ、WAF ルールを併用
- 管理画面とオリジンへのアクセスは隠す
認可ユーザーは隠れたアプリにも到達できます。つまり OpenNHP は、攻撃を試せる相手を「インターネット全体」から「あなたが許可した人」に絞り込みます。
今すぐやるべきこと
1
パッチ
PHP 8.5.12、8.4.27、8.3.36、8.2.35、またはディストリビューションの修正版パッケージ。
2
棚卸し
公開インターネットに出す必要のない PHP サービスを洗い出す。
3
隠す
OpenNHP の背後に置き、次の PHP2Shell が何にも届かないようにする。
信じなくていい。IETF 127 で破ってみてください。
11月
14–15
2026
IETF 127 ハッカソン · サンフランシスコ
AI 攻撃ツール、PHP2Shell のテクニック、スキャナーを持ってきてください。課題は、認証せずに OpenNHP の背後のサーバーに到達することです。
リソース
PHP サービスを隠すお手伝いが必要ですか？お問い合わせ： [email protected].