ファイアウォール・VPN・NASはPHP2Shellの影響を受けるか ― PHPを内蔵した機器と製品の確認手順
ファイアウォールやVPN、NASなどPHPを内蔵した機器がPHP2Shellの影響を受けるか、ベンダーのアドバイザリで確認して修正を適用する手順を解説します。
ファイアウォール・VPN・NASはPHP2Shellの影響を受けるか ― PHPを内蔵した機器と製品の確認手順
自社のWebサーバーのPHPを更新済みでも(脆弱性の概要はこちら)、誰もインストールした覚えのないPHPが残っています。ファイアウォール、VPNゲートウェイ、ロードバランサー、NAS、セキュリティ製品の管理コンソール、一部のクラウドサービスに組み込まれたPHPです。CISAも、PHPは他のソフトウェアの構成要素であることが多く、その存在を直接確認できない場合があると注意を促しています。
結論: アプライアンスやパッケージ製品では、内部のPHPバージョンを調べる必要はありません。利用中のベンダーと製品を一覧にし、各ベンダーのPHP2Shellアドバイザリを開き、「影響あり」「影響なし」「調査中」を正しく読み分けます。ベンダーが公開した方法で修正を適用し、製品のバージョンが修正版と一致することを確認します。それまでのあいだは管理インターフェースへのアクセスを制限し、影響を受けるすべての部分についてベンダーの指示に従います。
タイでは、ThaiCERTが2026年10月22日にPHP2Shellの注意喚起を公開しました。概念実証(PoC)が公開済みであること、PHPが修正版をリリースしたことを伝え、確認対象にPHPを構成要素に含むパッケージ製品も挙げています。タイ国内で攻撃が確認されたかどうかには触れていません。
手順1:利用中のベンダーと製品を一覧にする
php.netは、Webリクエストを処理するすべてのPHPが影響を受けるとしています。まずはログイン画面やポータルを持つものから洗い出します。ファイアウォールとVPNゲートウェイ(キャプティブポータルを含む)、ロードバランサー、追加したアプリやコンテナを含むNAS、社内に設置したセキュリティ製品の管理コンソール、自社のPHPコードを動かしているクラウドサービスです。
各項目には、ベンダー、モデル、現在のバージョン(ファームウェア、OS、ホットフィックス、パッケージ)、有効にしている機能、インターネットから到達できるか、更新を誰が担当するかを記録します。
有効にしている機能も記録します。機能によって影響の有無を判断するベンダーが多いためです。
| 製品 | ベンダーが「影響あり」とする条件 |
|---|
| Palo Alto PAN-OS | 管理Webインターフェース(Web UIとXML API)と、管理プロファイルを割り当てたデータプレーンのインターフェースのみ。GlobalProtectのポータル、ゲートウェイ、Clientless VPNは影響なし |
| Check Point | Mobile Access Portal、SSL Network ExtenderまたはSAMLを使うRemote Access VPN、Identity Awareness Captive Portalを使うゲートウェイ |
| Netgate pfSense | GUIまたはCaptive Portalが攻撃者から到達可能な場合。初期設定ではGUIはLANからのみ、Captive Portalは無効 |
| F5 BIG-IP | APMのデータプレーン(Accessプロファイル)とConfiguration utility |
この作業に連携型のインベントリを検討する場合は、料金ページでプランを比較し、導入範囲をパートナーに確認してからご判断ください。
手順2:まとめ記事ではなく、ベンダー自身のアドバイザリを読む
複数ベンダーのまとめは、すぐに古くなります。SOCRadarの一覧(10月23日更新)は、Cisco Catalyst CenterとWAN Automation Engineを「調査中」のままにしていましたが、同日22:39 GMTのCiscoのアドバイザリでは両製品とも「影響なし」とされていました。同じまとめでは、FortinetのFortiADC ManagerとFortiDDoS-Fも、Fortinetが「影響なし」とした後も「調査中」のままでした。Ciscoのアドバイザリ自体も、写しや要約には重要な情報の欠落や誤りがありうると注意しています。
NCSC-NL(オランダ国家サイバーセキュリティセンター)がGitHubで公開している一覧は、ベンダーのページを探す索引としては便利ですが、根拠にはなりません。10月25日時点で約750行あり(当社の集計)、大半は「Investigation」のままでした。
次の表は、2026年10月25日に各ベンダーのサイトで直接確認した時点のステータスです。「時点」はベンダーがそのページを最後に更新した日付です。
| ベンダー / 製品 | 状況 | 修正版、またはベンダーが示す対応 | 時点 |
|---|
| Palo Alto Networks PAN-OS、Panorama | 影響あり(管理インターフェース) | ブランチごとのホットフィックス、ETAは10月27〜30日。25日の更新で一部のETAを削除(公開済みかページで要確認) | 10/25 |
| Siemens RUGGEDCOM APE1808(PAN-OS) | 影響あり | Siemensサポートに問い合わせ、Palo Altoの回避策を適用 | 10/23 |
| Cisco | 影響あり:Expressway、URWB、Duo Access Gateway / 調査中:ISE Portal Builderなど複数 / 影響なし:ASA、Secure Firewall Threat Defense、ISE、Meraki MXなど | Expressway 15.5.21(日付未定)、URWB 27.1.1(2027年2月)、Duo Access Gateway 3.2.0 | 10/23 |
| Fortinet | 影響なし:FortiOS、FortiWeb、FortiADCなど多数 / 調査中:FortiDDoS、FortiClient Cloud Services、FortiSOAR、FortiSOAR PaaS | 影響ありとされた製品はなし | 10/23 |
| Sophos | 影響を受ける製品なし(Sophosが運用するMyUTMポータルは停止済み) | 製品側の対応は不要 | 10/22 |
| Check Point | 影響あり(手順1の機能のみ) | R82.10、R82、R81.20向けホットフィックス(再起動が必要)。R82.20は「Coming soon」 | 10/23 |
| F5 BIG-IP | 影響あり:APM、Configuration utility / 影響なし:BIG-IQ、F5OS、NGINX | 21.1.0.4、17.5.1.11、17.1.3.7 | 10/24 |
| Citrix NetScaler ADC、Gateway | 影響あり | 修正版の記載なし。緩和策はCitrixのコミュニティブログを参照 | 10/22 |
| Netgate pfSense | GUIまたはCaptive Portalが到達可能な場合に影響 | PHP 8.5.12のパッケージ(Plus 26.07、26.03.1、CE 2.9.0)と8.3.36(CE 2.8.1) | 10/21 |
| OPNsense | ホットフィックス公開済み | Business 26.4.2p4、Community 26.1.11および26.7.7 | 10/23 |
| Trend Micro | 影響あり:Apex Central、Apex One(オンプレミスサーバー)、Trend Micro Web Security、Deep Discovery Inspector・Analyzer・Email Inspector | 緩和策を開発中。Deep Discovery 3製品のクリティカルパッチETAは10月30日 | ページ更新10/24、ステータスは10/23時点 |
| QNAP | OSは修正済み、一部アプリは「Fixing」 | QTS 6.1.0.3656と5.2.11.3661、QuTS hero h6.1.0.3656・h6.0.2.3656・h5.2.11.3661、QuTScloud c5.2.9.3661(いずれもbuild 20261023) | 10/24 |
| Synology | 影響パッケージについてResolved | 記載のPHPパッケージ(例:8.4.27-0051以降)。PHP 7.3は修正なし | 10/22 |
| AWS | AWSのサービスは影響なし | 利用者が自ら動かすPHPは利用者が更新(LambdaやLightsailなど)。Gangliaを含む一部リリースのEMRは影響あり | 10/23 |
| Azure App Service | LatestとStandardチャネルのLinux組み込みイメージは更新済み。Extendedチャネルへの修正は最後 | カスタムコンテナは利用者が再ビルド。App Service on Windowsの組み込みPHPにはパッチなし | 10/21 |
この表は今後も変わります。ホットフィックス待ちや調査中の項目が残っているためです。正となる情報は常にベンダーのページなので、判断の直前にもう一度開いてください。お使いの製品が表にない場合は、そのベンダーのPSIRTページを直接確認します。
手順3:ステータスを正しく読む
次の3つは明確に区別します。
- 影響なし(Not affected、Not impacted):ベンダーが確認し、影響がないと明言している
- 影響あり(Affected、Impacted、Vulnerable):修正版を探す。まだなければベンダーの回避策に従う
- 調査中(Under investigation):ベンダーもまだ判断できていない。「影響なし」とは扱わない(手順6を参照)
よくある読み違い:
- ルールはベンダーごとに違う。 Ciscoは、アドバイザリに記載のない製品は影響を受けないと明記しています。このルールを他のベンダーに当てはめないでください。そう書いていないベンダーでは、記載がないことは「不明」を意味します。
- 修正版は自分のブランチと照合する。 F5は17.1.0〜17.1.3を影響ありとし、このブランチの修正版を17.1.3.7としています。それ以外のビルドはF5のブランチ表で確認してください。CiscoのExpressway 15.5.21(TBD)やTrend MicroのDeep Discoveryのパッチ(ETAは10月30日)のように、ETAや「TBD」しかない行は、当社が確認した10月25日時点では適用できるものがなかったという意味です。
- 「Resolved」はすべての部品の修正を意味しない。 SynologyがResolvedとしたのは、影響パッケージに修正版が出たためです。DSM内部のPHPについては外部に露出した攻撃面がないとし、脆弱性スキャン結果をそろえるため後続のDSMリリースでパッチを予定しています。それまではスキャナーが検出し続ける可能性があります。
- ベンダーの更新は、追加したコンテナやサードパーティ製アプリを対象外にすることがある。 QNAPは、Container Station上のコンテナやサードパーティ製アプリに含まれるPHPはQNAPの更新の対象外だとしています。自分で追加したものは自分で更新します。
手順4:ベンダーの修正を適用する(機器内のPHPを自分で入れ替えない)
機器内のPHPは、ベンダーがシステムの一部としてビルドし、テストしたものです。ベンダーの修正は、ファームウェア、ホットフィックス、パッケージのいずれかの形で提供されます。各ベンダーのページから例を挙げます。
- Check Point:ホットフィックスはPHPが公開したPHP 7.4向けの修正を取り込んだもので、再起動が必要です。
- Netgate pfSense:PHPパッケージはGUIからは更新できず、SSHまたはコンソールのシェルで行います。Netgateが推奨するMethod 1は、全パッケージを更新し、正しいPHPバージョンを使わせるためにWireGuardパッケージを最後に入れ直してから再起動する手順です。メンテナンス時間を確保し、Netgateのページに従って実施してください。WireGuard経由で作業すると接続が途切れる可能性があります。
- Synology:Package CenterからPHPを更新します。Mail Stationは手動更新が必要です。DSM 7.2より前のバージョンでは、影響パッケージを一時的に無効にします。
- F5:修正版にすぐ上げられない場合の暫定手順として、php.iniの設定追加と関連サービスの再起動(APMではAPMのサービスも含む)を示しています。F5のページの手順をすべて実施してください。この設定はTMOSのアップグレードで消えるとF5は注意しています。
当社としては、内蔵PHPを自分で入れ替えないことをお勧めします。アドバイザリが示す修正版は製品全体のビルド(例:BIG-IP 17.1.3.7)です。自前でビルドしたPHPが修正済みのバージョンであっても、機器がベンダーの示す修正済みビルドと一致することにはなりません。パートナーやMSPが機器を管理している場合は、更新後のバージョンを書面でもらいましょう。
手順5:適用後に修正版を確認する
- 機器のコンソールまたはCLIでバージョンを確認する。 確認方法はベンダーのマニュアルに従い、アドバイザリの修正版と照合します。照合するのは、ベンダーが示すファームウェア、OS、ホットフィックス、パッケージのバージョンです。内部のPHPバージョンで判断できるのは、NetgateやOPNsenseのようにベンダー自身がPHPのバージョンを示している場合だけです。
- ベンダーが求める再起動をすべて行う。 Check Pointのホットフィックスは再起動が必要で、OPNsenseは更新後にキャプティブポータルのサービスを再起動するよう案内しています。
- 機器では
php -vを根拠にしない。 ThaiCERTの注意喚起はphp -vでの確認を挙げており、自社で管理するサーバーでは有効です。ただし表示されるのはコマンドライン版のPHPで、Webを処理しているPHPとは異なることがあります(理由はこちら)。機器では1の製品バージョンを使います。
- スキャナーの性質を知る。 OpenAIのphp2shell-checkerはURLモードではヘッダーを読むだけのパッシブ型で、バックポートされた修正は見えません。ProjectDiscoveryのNucleiテンプレートとAssetnoteのphp2shell-scannerは大きなマルチパートリクエストを送る能動型の検査です。エクスプロイトではありませんがサービスに影響しうるもので、NucleiテンプレートはPHPワーカーを停止させるおそれがあります。本番環境のファイアウォールやNASの管理画面には向けないでください。
手順6:ベンダーが調査中のあいだにできること
ベンダーの暫定的な助言は、2種類の部分に分かれます。1つ目は管理インターフェースで、到達できる範囲を狭めます。
- Palo Alto:管理インターフェースへのアクセスを、信頼できる社内IPアドレスか踏み台(jump box)に限定する
- QNAP:NASをインターネットから切り離し、ルーターとmyQNAPcloudのUPnPポート転送を無効にし、VPNを使い、管理ポート(初期設定は8080と443)を制限する
- Trend Micro:影響を受ける管理サーバーやコンソールへのアクセスを信頼できるIPアドレスに限定する
- Netgate:フィルタールールでGUIが信頼できないネットワークに公開されていないか確認し、GUIにはVPN経由でアクセスする
- F5:Configuration utilityへのアクセスを制限する
2つ目は、利用者がアクセスするポータルやサービスのうち、それ自体が影響を受けるものです。F5のAPMデータプレーン、pfSenseのCaptive Portal、手順1に挙げたCheck PointのポータルとVPNなどが該当します。管理アクセスを制限しても、これらには効果がありません。その部分についてのベンダーの指示に直接従ってください。NetgateはCaptive Portalの利用者にできるだけ早くPHPを更新するよう求めています。ベンダーが影響を受けるサービスの停止を求めている場合は、停止します。
調査中の製品には、個別の助言がまだないのが普通です。待つあいだも同じ考え方が使えます。管理インターフェースがインターネットに面していれば、閉じるか信頼できるネットワークに限定し、ステータスが変わるまでアドバイザリを確認し続けます。使っていないNASアプリは当面止めておいても構いません。更新できないPHPシステムはパッチ適用までオフラインにするというCISAの助言にも沿います。
Lambda、Lightsail、Azureのカスタムコンテナなど、クラウド上で自ら動かすPHPについては自社サーバーのPHP更新とcPanel・Plesk・DirectAdmin向けの記事をご覧ください。
本記事で扱わないこと
- 機器がすでに侵害されたかどうか。 未修正の期間に影響を受ける管理インターフェースやポータルがインターネットに面していた場合は、ログ調査とインシデント対応に進んでください。
手順1を次回も繰り返せるようにするなら、zcrCTEMのCAASMは連携したソースのホスト、デバイス、クラウドリソースを1つのインベントリにまとめ、EASMはシードドメインから探索した資産のオープンポートを検出結果として示します。ベンダーの修正の代わりにはなりません。
関連記事
PHP2Shellとは ・ 全サイトのPHPバージョン確認 ・ WAFはどこまで有効か ・ ログ調査 ・ PHP 7.4/8.0/8.1を使い続けている場合
お問い合わせ
機器と製品の一覧をどこから作り、何から確認すべきか。お気軽にご相談ください。無料でご相談いただけます。zcrが提供するのはソフトウェアで、パッチ適用、システムの確認、インシデント対応の実作業はパートナーを通じて提供します。
出典
いずれも2026年10月25日に確認。
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching — 他のソフトウェアの構成要素としてのPHP、更新できないPHPシステムのオフライン化
- ThaiCERT — PHP2Shellの注意喚起(2026年10月22日、タイ語) — PoCの公開、修正版、確認対象としてのPHP内蔵パッケージ製品、
php -vによる確認
- PHP.net — 2026 news archive — Webリクエストを処理するすべてのPHPが影響、スコア9.2
- Palo Alto Networks — CVE-2026-109618、Siemens SSA-566512
- Cisco — Vulnerabilities in PHP Affecting Cisco Products: October 2026
- Fortinet FG-IR-26-186、Sophos — PHP2Shell advisory
- Check Point sk1000302、F5 K000163821
- Citrix CTX697263
- Netgate — Critical PHP Security Update、OPNsense — PHP2Shell hotfix
- Trend Micro KA-0024802
- QNAP QSA-26-18、Synology-SA-26:14、Synology Statement on PHP2Shell
- AWS Security Bulletin 2026-143-AWS、Azure App Service — PHP critical security release
- NCSC-NL — php2shell — 製品とベンダーの索引
- SOCRadar — PHP2Shell — 古くなった一覧の例(10月23日更新)
- OpenAI php2shell-checker、ProjectDiscovery nuclei-templates CVE-2026-109618、Assetnote php2shell-scanner — パッシブ型と能動型(サービスに影響しうる検査)の区別
