韓国、PHPの重大脆弱性でサイバー警戒引き上げ　認証なしで悪性コード実行の恐れ

記事の理解を助けるための画像

民間分野の警戒レベルを「注意」に

韓国政府は22日、ウェブ開発で広く使われるプログラミング言語「PHP」の重大な脆弱性を悪用する攻撃が相次いでいるとして、民間分野のサイバー危機警報を「関心」から「注意」に引き上げた。

韓国科学技術情報通信省と韓国インターネット振興院（KISA）は同日正午、情報セキュリティー最高責任者の届け出企業約2万8000社や、サイバー脅威情報共有システムの会員企業約5900社などに緊急対応を案内し、非常対応体制を稼働させた。

「PHP2Shell」と呼ばれる今回の問題は、PHPのメモリー管理上の欠陥に由来する2件の脆弱性で、識別番号は「CVE-2026-109618」と「CVE-2026-109619」。認証を経ずにサーバー上で悪性コードを実行される恐れがあり、危険度は10点満点で9.2と評価されている。

米アマゾンの脅威インテリジェンスチームは、PHP開発チームが修正パッチを配布した21日より4日早い17日に、脆弱性を悪用する試みを検知したと明らかにした。

セキュリティー企業インパーバは、情報公開から24時間以内に、自社の保護環境で関連するリクエスト48万2342件と攻撃セッション12万2311件を確認した。対象は103カ国のウェブサイト2万1998件に及んだが、これらの数字が実際に侵害された件数を示すわけではない。

パロアルトネットワークスは、インターネット上に公開されているPHP環境を世界で約2200万件と推計している。ただし、すべてが今回の脆弱性の影響を受けるわけではないとしている。

韓国のセキュリティー企業各社も対応に乗り出した。ティオリは攻撃コードを再現し、対応ガイドと設定確認用スクリプトを公開。暫定措置だけでは攻撃を完全に防げず、一部機能に影響する可能性もあるとして、公式パッチの適用を求めた。

エンキーホワイトハットはPHPのバージョンと設定を確認する無料診断スキャナーを提供した。イ・ソングォン代表は、影響の大きい脆弱性では、攻撃者より先に外部公開された資産を特定し、対応するための「ゴールデンタイム」を確保することが重要だと指摘した。

パイオリンクは、ウェブサイトのアドレスを入力するとPHPのバージョンやパッチ適用の必要性を案内する点検ページを開設した。スティリオンも無料のオンライン点検サービスを公開し、アンラボは不審な命令の実行やウェブシェルの作成、ファイル変更などを検知する方法を示した。

ただ、外部からの点検には限界がある。サーバー側がPHPのバージョン情報を非公開にしている場合は脆弱性の有無を判断しにくく、正常との結果が出ても、内部設定や過去の侵害までは確認できない。

KISAは、PHPを最新の安全なバージョンに更新したうえで、ウェブサービスを再起動するよう勧告した。更新前に動作していたプログラムがメモリー上に残っていると、脆弱な状態が続く可能性があるためだ。

アクセス記録については少なくとも10月20日以降を確認し、可能であればそれ以前の記録も調べるよう求めた。パッチ適用後もウェブシェルが設置されていないかを確認し、データベースのパスワードや認証トークンなど重要な認証情報を変更する必要があるとしている。

韓国個人情報保護委員会は、外部公開や過剰な権限設定がされている「phpMyAdmin」などPHPベースのデータベース管理ツールにも注意を呼びかけた。管理画面へのインターネット経由のアクセスを制限し、個人情報の大量照会や持ち出しといった異常な接続記録を点検するよう要請した。

同委員会のヤン・チョンサム事務処長は、被害がホームページの侵害にとどまらず、接続先のデータベースに保存された多数の利用者情報の流出につながる恐れがあるとして、更新と監視体制の強化を求めた。

23日の国政監査では、ハン・ジュノ国会議員が、政府が緊急警報を出したにもかかわらず、KISAが公的機関における脆弱なシステムの保有状況や更新完了の有無を十分に把握できていないと指摘した。

KISAのイ・サンジュン院長は、システムの運用責任が各機関に分かれており、個別に直接点検するには制度上の制約があるとの認識を示した。ハン議員は、今後の対応状況を議員室に報告するよう求めた。