Theoriは10月22日、PHPエンジンの重大脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）を独自に再現・検証し、企業・機関向けの緊急対応ガイドを公開したと発表した。PoCの拡散が進んでいるとして、速やかなパッチ適用と暫定緩和策の実施を求めている。

Theoriは、PHP2Shellについて、Webアプリの実装内容を問わず、PHPエンジン自体の欠陥に起因する脆弱性だと説明した。攻撃者は追加認証なしにサーバ上で遠隔から任意のコードを実行でき、サーバの制御を奪ったり、プロセスのメモリを読み取ったりする恐れがあるという。

深刻度は高い。Theoriによると、CVSS v4.0は9.2で、Criticalに分類される。

また、正式なセキュリティアドバイザリが公開される前に、デモ動画やパッチ適用済みバイナリが流出したという。これを基にしたPoCも急速に広がっており、企業には迅速な対応が求められるとしている。

Theoriの研究チームは、攻撃コードの再現・検証の過程で、同様の手法によるエクスプロイトの生成・流布が他の攻撃者の間でも時間の問題だと分析した。

影響を受けるのは、PHP 8.2.34、8.3.35、8.4.26、8.5.11以下の各バージョンに加え、サポートが終了しているPHP 8.1以下の全バージョンだ。7.x系、5.x系も含まれる。PHPでは、8.2.35、8.3.36、8.4.27、8.5.12など、最新のセキュリティパッチ版への即時更新を推奨している。

Theoriは、根本対応は最新パッチの適用だとした一方、PHPエンジンをすぐに更新しにくい環境向けに、暫定緩和策も提示した。ただし、暫定策にはセッション機能の不具合など副作用が生じる可能性があり、完全には防げないため、最新パッチの早期適用が不可欠だと強調している。

Theoriの○○主席研究員（AI & Cyber Researchチーム）は、「PHP2Shellは、アプリケーションコードに関係なくサーバ全体を危険にさらし得る、最高レベルの危険度を持つ脆弱性だ」とコメントした。その上で、OSディストリビューションごとのパッチ提供状況を直ちに確認し、最新版へ更新するよう呼びかけた。パッチ適用までの間は、Theoriが公開した暫定緩和策と点検スクリプトを適用し、設定状態と侵害の有無を速やかに確認するよう求めている。