改ざんされたサイトを見ただけで感染する？PHPの脆弱性と閲覧者のリスク

MacWindowsiPhoneAndroid更新

PHP2Shellは、ウェブサイトのサーバーで動くソフトウェアの脆弱性で、あなたのスマホやパソコンの脆弱性ではありません。PHPで作られたサイトを見ても、この脆弱性があなたの端末に及ぶわけではありません。閲覧者にリスクが出てくるのは、攻撃者がサイトを乗っ取り、表示される内容を書き換えた場合です。

要点

2026年10月21日に公表されたPHPの脆弱性は、ウェブのリクエストを処理するPHP、つまりウェブサーバーに関わるものです。サイトを見てもあなたの端末でPHPが動くことはありません。ただしGoogleは、改ざんされたサイトが有害なページへの転送やフィッシング、閲覧者のパソコンへの不正なコンテンツのインストールに使われることがあるとしています。ブラウザを最新にし、身に覚えのないダウンロードは避け、入力前にアドレスを確かめてください。

PHPの脆弱性はサイトを見る人に関係がありますか

脆弱性があるのはサイトのサーバーです。PHPのマニュアルによると、PHPのコードはサーバーで実行され、その結果がブラウザに送られます。ブラウザは結果を受け取るだけで、元のコードを知ることはできません。PHPのアドバイザリは、CVE-2026-109618とCVE-2026-109619の影響を受けるのはウェブのリクエストを処理するPHPだとしています。JPCERT/CCは、悪用された場合はPHPの実行プロセスの権限で任意のコードを実行される可能性があるとしています。

IPAとJPCERT/CCの呼びかけは、PHPを使う側、つまりサイトやサービスを運用する側に向けたもので、内容は修正版への更新です。閲覧者にとってPHP2Shellが関係してくるのは、使っているサイトが乗っ取られ、表示内容が変えられた場合です。

改ざんされたサイトは閲覧者に何ができますか

Googleはサイト運営者向けの説明で、攻撃者がサイトに入り込んだあとに行うことを挙げています。

  • 既存のページに手を加える。 既存のページに悪意のあるコンテンツを挿入しようとすることがある、としています。
  • 別のページに飛ばす。 有害なページやスパム行為をするページにユーザーをリダイレクトするコードを挿入することがある、としています。
  • 新しいページを追加する。 追加されたページは、検索エンジンの操作やフィッシングを意図したものだとしています。
  • 閲覧者の端末に何かを入れる。 ユーザーのパソコンに悪意のあるコンテンツがインストールされるおそれもある、としています。

このうちいくつかは、ダウンロードを受け入れる、偽のページにパスワードを入れるなど、閲覧者が何かをしたときにはじめて成り立ちます。下の手順は、その場面に備えるためのものです。

危険なサイトはブラウザが警告してくれますか

警告されることがあります。主なブラウザには、それぞれ警告の仕組みがあります。

  • MacのSafari。 「Safari」＞「設定」を選び、「セキュリティ」をクリックします。Appleによると、「詐欺ウェブサイトを閲覧しようとしたときに警告」をオンにしておくと、フィッシングの疑いがあるサイトを表示しようとしたときに警告が出ます。
  • Chrome。 Googleによると、フィッシング、マルウェア、望ましくないソフトウェア、ソーシャルエンジニアリングのサイトが検出されると、赤い「危険なサイト」の警告が表示されることがあります。パソコンでは、右上のその他メニューから「設定」＞「プライバシーとセキュリティ」＞「セキュリティ」に進み、「セーフ ブラウジング」で保護レベルを選べます。

こうした警告は、報告や検出されたサイトに対して出るものです。警告が出なかったことは、安全だという証明にはなりません。

サイトを見るときに自分を守るには

IPAの「情報セキュリティ10大脅威 2026［個人編］」に、そのまま使える対策が並んでいます。

  1. ソフトウェアを更新する。 IPAは対策の基本の最初にソフトウェアの更新を挙げ、脆弱性を解消して攻撃のリスクを下げるためだとしています。ブラウザとOSの更新を後回しにしないでください。
  2. よく使うサイトはブックマークから開く。 IPAは、よくアクセスするサイトはブックマークに登録し、それ以外から開かないよう勧めています。
  3. メールやSMSのリンクを安易に開かない。 添付ファイルの開封や、URLリンクのクリック、タップも同じです。
  4. ソフトは正規の入手先から。 Appleは、ソフトウェアはApp Storeか開発元のウェブサイトから直接入手するよう勧めています。
  5. 入力の前にアドレスを見る。 Appleは、本物に見えるリンクでもURLが正規の会社のサイトと一致しないものに注意するよう書いています。Macではリンクにポインタを重ねるとURLが表示され、iPhoneやiPadではリンクを長押しします。
  6. 多要素認証とパスキーを使う。 IPAは多要素認証の利用を勧め、パスキーが使える場合はできるだけ使うようにとしています。

パスワードを入れてしまった、何かをダウンロードしてしまったら

やってしまったことに合わせて対処します。IPAによると、パスワードを入れてしまった場合はすぐにそのサービスのパスワードを変更し、同じパスワードをほかのサービスでも使っていれば、そちらも同様に変更します。クレジットカード情報を入れた場合は、速やかにカード会社に相談してください。被害に遭った場合は、入力した情報に関係するサービスの提供者にも相談するよう案内しています。

何かを開いてしまって不安なとき、身近に相談できる人がいなければ、IPAの「安心相談窓口」に相談できます。

Failshotについて

Failshotは、別の場面のための、Macの「2つ目の層」のデバイスセキュリティ（second layer device security）です。誰かがその場であなたのMacを使う場面です。パスワードが1つ目の層で、Failshotはその次の層です。オンの間は、Macのロックを解除した人の写真を撮り、Pro では続けて5秒間の動画も記録します。Failshotのウインドウは、ロック解除が撮影されたことを解除した人に知らせます。オフにしたり、メニューから終了したりするには、Touch IDかFailshotのPINと答えが必要で、Macのパスワードでは操作できません。

MacアプリはmacOS 14以降向けに無料でダウンロードできます。無料で使えます。Pro では動画、メール通知、暗号化された Vault が加わります。Failshot Proは、failshot.appで7日間無料で試せます。申し込み時にカードを登録し、解約しない限り8日目に請求されます。アプリは英語版のみです。iPhone、Android、Windows版は準備中です。

よくある質問

PHPの脆弱性があるサイトを見ても大丈夫ですか

脆弱性はサイトのサーバー側にあり、PHPのマニュアルによるとPHPはブラウザではなくサーバーで動きます。閲覧者が気をつけるべきなのは、乗っ取られたサイトです。そうしたサイトでは、身に覚えのないダウンロード、別のページへの転送、ログインの要求に注意してください。

危険なサイトを見てしまったときは

何を入力したか、何をダウンロードしたかで対処が変わります。パスワードやカード情報を入れたなら、上の手順でパスワードを変え、カード会社に相談してください。何も入れず、何もダウンロードしていなければ、ブラウザとOSを最新の状態にしておくことが、IPAの挙げる基本の対策です。

そのサイトがPHPを使っているか見分けられますか

確実には見分けられません。PHPのマニュアルは、すべてのHTMLファイルをPHPで処理するようにサーバーを設定することもでき、その場合ユーザーはPHPが動いていることすら知ることができない、としています。

サイトの運営者は改ざんに気づいていますか

気づいていないこともあります。Googleは、攻撃者がサイト所有者に気づかれないようにクローキングを行うことは珍しくない、としています。見慣れたサイトでも、ダウンロードやパスワードの入力には同じ注意が必要です。

PHP2Shellはもう悪用されていますか

2026年10月23日時点で、米国のCISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。一方、QNAPは10月22日のアドバイザリで、PHPに対する悪用の試みが公に報告されていると書いています。PHPプロジェクトは、完全な対策は更新だけだとしています。

スマホにも関係がありますか

直接は関係ありません。PHP2Shellの影響を受けるのはウェブのリクエストを処理するPHP、つまりサーバーです。ただ、乗っ取られたサイトはどの端末にも偽のログイン画面やダウンロードを表示できるので、更新、アドレスの確認、多要素認証という同じ習慣が役に立ちます。

出典