2026年10月23日 13時06分セキュリティ

「PHP2Shell」脆弱性公表後に悪用試行が数百万件単位に増加したとCloudflareが報告、顧客向けには新ファイアウォールを開発して有効化

世界の多くのウェブサイトやサービスで利用されているPHPに重大な脆弱性「PHP2Shell」が見つかり緊急アップデートが行われた一件で、公表前は数千件程度だった悪用試行が公表後は爆増し、公表から12時間ほどで数百万件という単位に増加していたことをCloudflareが報告しています。

Cloudflare deploys protections against php2shell vulnerability | Cloudflare Blog
https://blog.cloudflare.com/php-vulnerabilities-waf-protection/

Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.
— Matthew Prince 🌥 (@eastdakota) October 22, 2026

問題となっている脆弱性は2つあり、悪用されると情報の窃盗やウェブサイトの改変などにつながるため、PHP財団や複数のセキュリティ企業などが協力して対策にあたり、2026年10月21日深夜に緊急アップデートが配信されました。

PHPが緊急アップデート「8.5.12」「8.4.27」「8.3.36」「8.2.35」をリリース - GIGAZINE

緊急アップデートがこのタイミングとなったのは、本来設定されていた情報解禁のタイミングよりも早くリークがあったためですが、そのリークよりもさらに前の時点で、Amazonは当該脆弱性を悪用した攻撃を検出していたと報告しています。

AmazonはPHP2Shell脆弱性を悪用した攻撃を公開4日前に検出していた - GIGAZINE

Cloudflareのマシュー・プリンスCEOによると、PHP2Shellを悪用した攻撃試行は情報が公表される10時間前の時点で数千件存在していて、公表から45分後には数万件単位に増加。2時間後には数十万件になり、およそ12時間後には数百万件にまで増加したとのこと。

なお、Cloudflareは対策の一環として、2026年10月上旬からウェブアプリケーションファイアウォール(WAF)保護の開発を行い、情報公表のおよそ9時間前に導入して有効化。Cloudflareを無料で利用しているか有料で利用しているかを問わずすべての顧客がPHP2Shellから保護される状態になっているとのことです。

We had to invent a new form of WAF to mitigate this latest set of vulnerabilities. Now enabled by default for all customers for free.
— Matthew Prince 🌥 (@eastdakota) October 21, 2026