DPO／HKCERTが「PHP2Shell」極めて高リスク脆弱性を警告：ウェブサイトや組込みPHPを使う中小企業は直ちに資産棚卸しとパッチ適用を

2026年10月22日、香港のデジタル政策弁公室（DPO／数字办）は、世界のウェブサイトのバックエンドで広く使われるプログラミング言語PHPの重大なセキュリティ脆弱性を重視すると発表しました。DPOは各政策局・部門および公的機関へ保安警報を発出し、情報システムへの影響を直ちに点検し、可能な限り早くパッチ適用を完了するよう要請；できない場合は関連システムを一時的にオフライン化または隔離し、悪意ある侵入リスクを下げるよう求めました。あわせて一般・組織にも直ちにパッチ適用を呼びかけています。同日、HKCERTが保安公報を、またGovCERT.HKが高脅威警報A26-10-36を公表しました。業界では当該脆弱性群を「PHP2Shell」と呼ぶことがあります。本稿は、ウェブサイトや組込みPHPを運用する中小企業向けに、公式警報を防御的な資産棚卸しと公式アップグレード経路として要約したものです。一般情報であり、exploit／攻撃手順は扱いません。香港の全サイトが既に侵害されたという主張でもありません。

ライフサイクル

警報／公報発出済；実環境での悪用が報告。HKCERTはExtremely High Riskと評価し、CVE-2026-109618およびCVE-2026-109619が実環境で悪用されていると述べています。GovCERTはPoCの報告と積極的な悪用に言及します。DPOの2026年10月22日発表時点では、関連するサイバーセキュリティ事案の報告は受けていないとしています。「香港の全サイトが既に侵害された」と誇張せず、緊急のパッチ／棚卸しシグナルとして扱ってください。

影響範囲（公式要約）

• PHP：8.5.12／8.4.27／8.3.36／8.2.35より前の版（PHPプロジェクトが更新を終了した旧版／EOLを含む）。
• 影響：悪用成功時に対象システムでリモートコード実行（RCE）。
• 追加確認：PHPを組込む商用製品・OSS（HKCERTは WordPress、F5、Citrix、Palo Alto Networks、QNAP 等のベンダー告知を列挙）。ベンダーに影響と修正を確認してください。

中小企業が取りうる防御措置（防御のみ）

1. 棚卸し：自社／代行ホスティングのサイト、イントラアプリ、CMS、プラグイン、PHP組込み機器を洗い出す。
2. パッチ：PHPを8.5.12／8.4.27／8.3.36／8.2.35へ更新するか、ベンダー／ディストリビューションのLTSバックポート修正を適用。
3. 即時更新が難しい場合：HKCERT／GovCERTは、修正適用・検証までインターネット公開アプリを隔離またはオフライン化することを検討するよう助言。一時的緩和は一部の露出を減らしても、正式更新の完全な代替にはならない。
4. 支援：HKCERT（メール [email protected]、電話 8105 6060、またはDPO発表のオンラインフォーム）。

当サイトの他のセキュリティ記事との違い

当サイトは無料ウェブサイト診断やBugHunting登録など任意プログラムも扱ってきました。本稿は異なります：実環境で悪用中のPHP重大RCEに関する政府／CERTの緊急パッチ／棚卸し警報であり、販促的スキャンでも攻撃DIYでもありません。

出典：政府プレス — DPO Security Alert（香港、2026年10月22日）；中国語：数字办高度关注最新网络安全漏洞；HKCERT — PHP Multiple Vulnerabilities；GovCERT.HK — A26-10-36；PHPプロジェクト：php.net archive 2026-10-21-5。確認日時 2026-10-23 ~12:14 HKT（Asia/Hong_Kong）。

本稿は一般情報のみであり、法律・税務・会計・サイバーセキュリティコンサル・IT運用の助言ではありません。exploit詳細や攻撃手順、適格専門家／ホスティング／ベンダー指針を置き換えるDIY手順は提供しません。リスクは各組織のシステムに依存します。成果、全製品の網羅、一時緩和＝完全パッチであることは保証しません。本番変更前にDPO／HKCERT／GovCERT／ベンダーの公式通知に従い、専門支援を受けてください。