変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
侵入が疑われる場合の封じ込め
活動中なら必要な証拠を守りながら公開アクセスを制限し、負荷分散から対象を外します。事業者か対応チームに連絡します。全 PHP を把握し、両 CVE を修正、ワーカーを交換して周辺も調査します。WAF や一時設定は既存アクセス、盗まれた認証情報、永続化を除去しません。封じ込めを遅らせないでください。
信頼できる状態から復旧する
侵入確認時は Webshell 削除だけでなく信頼できるイメージと検証済みデータで再構築します。不正アカウントと永続化を除き、正常な端末で秘密を交換し、封じ込め後にセッションを無効化します。Web 実行環境、全レプリカ、機能を検証し、通信と認証を監視します。範囲と必要な通知は対応チームで記録します。
一次資料と関連情報
PHP security team原文を読む ↗CVE-2026-109618原文を読む ↗CVE-2026-109619原文を読む ↗研究解説と実用ガイド
PHP2Shell ツール
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
02攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
03変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
04Wiz と Calif を正確に読む
研究は要求をまたいで残る欠陥を説明します。CVE-2026-109618 は mod_php RCE を実証、FPM はソース解析による影響判断で、この CVE の完全な FPM 攻撃実証はありません。CVE-2026-109619 はアプリ依存の FPM upload-progress 経路を別に確認しています。SAPI ごとの証拠は対応 GHSA で確認してください。
05Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。