ルーターやファイアウォールはPHPの脆弱性の影響を受ける？PHP2Shellとルーターの対策

WindowsMac更新

pfSenseを開発するNetgateとOPNsenseのチームは、PHPプロジェクトがPHP2Shellの脆弱性を公表した2026年10月21日に、それぞれのファイアウォールソフト向けにPHPの更新を出しました。ふつうの家庭用ルーターが影響を受けるかどうかは、メーカーがPHPを組み込んでいるかどうかで決まり、それを答えられるのはメーカーだけです。

要点

PHP2Shellはウェブのリクエストを処理するPHPに影響し、ネットワーク機器の中には管理画面にPHPを使うものがあります。pfSenseとOPNsenseは修正版を出しています。それ以外のルーターは、メーカーのサポートページでファームウェアの更新を確認し、管理画面をインターネットに公開せず、更新が出たら適用してください。

PHP2Shellはルーターに影響しますか

ルーターがPHPを使っている場合だけです。ただ、多くの持ち主には外から確かめる方法がありません。PHPプロジェクトのアドバイザリは、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）について、ウェブのリクエストを処理するすべてのPHPが危険にさらされ、認証なしでの遠隔からのコード実行につながりうる、としています。平たく言えば、ログインしなくても、第三者が機器の上で自分のコマンドを実行できるおそれがあるということです。

JPCERT/CCは今回の注意喚起で、PHPを使用する製品やLinuxディストリビューションが提供するPHPも影響を受ける可能性があるとし、製品やOSの提供元の情報を確認するよう求めています。IPAも、製品の影響についてはその製品の開発者やサービス提供元の情報を確認するよう呼びかけています。米国のCISAは、PHPはほかのソフトウェアの部品として使われることが多く、外から直接は見えない場合があると書いています。箱に書いていなくても、機器の中にPHPが入っていることはありえます。

このページでは家庭用ルーターのブランド名は挙げていません。メーカー自身のアドバイザリが影響や修正に触れている場合だけ名前を出すことにしていて、それに当たるのが下の2つです。

pfSenseについてNetgateは何と言っていますか

Netgateは2026年10月21日の記事で、2件の脆弱性はpfSenseソフトウェアに影響するとしています。そのうえで、問題になるのは、pfSenseのPHPで動く管理画面（GUI）か、Captive Portalのサービスが攻撃者から届く状態にある場合だけだ、と書いています。

Netgateによると、初期設定では管理画面はLAN側からしか開けず、Captive Portalも有効になっていません。更新済みとして挙げているバージョンは次のとおりです。

  1. pfSense Plus 26.07と26.03.1、pfSense CE 2.9.0。PHP 8.5.12になります。
  2. pfSense CE 2.8.1。PHP 8.3.36になります。

この更新は管理画面からはできません。NetgateはSSHかコンソールでコマンドを実行する必要があるとし、記事に具体的なコマンドを載せています。管理画面をインターネットなど信頼できないネットワークに公開している場合は、すぐにPHPを更新し、ファイアウォールのルールを直し、その後はVPNなど安全な経路でだけ管理画面に入るよう求めています。Captive Portalを使っている場合はできるだけ早く更新するよう求め、それ以外の人も、影響はないが都合のよいときに更新するよう勧めています。

OPNsenseは何と言っていますか

OPNsenseの2026年10月21日の告知は、PHPを更新したホットフィックスとして、Community Edition 26.7.7（PHP 8.5.12）、Community Edition 26.1.11（PHP 8.3.36）、Business Edition向けの更新を挙げています。OPNsenseの26.7のリリースノートも、CVE-2026-109618とCVE-2026-109619に対する臨時のホットフィックス（PHP 8.5.12）を26.7.7の項に載せています。

告知は、この更新をできるだけ早く適用するよう強く勧めています。キャプティブポータルを使っている場合は、修正を反映させるため、適用後にキャプティブポータルのサービスを再起動するよう書いています。

PHPを組み込んだ機器について、各機関は何と言っていますか

各機関の呼びかけは主に組織向けですが、どれも自分で用意したサーバーより広い範囲を指しています。英国のNCSCは、PHPを組み込んでいる可能性のあるアプライアンスやサービスも含め、他社製品のセキュリティ更新に注意し続けるよう求めています。CISAは、どのバージョンであれPHPが動いているシステムをすべて洗い出し、インターネットに面したシステムから修正を当て、更新できないシステムはオフラインにするよう求めています。IPAは、すぐに更新できない場合は暫定対策やアクセス制限を検討し、それも難しければ外部からのアクセス遮断やサービスの一時停止が必要か判断するよう呼びかけています。

家庭のネットワークで言えば、確認先はルーターのメーカーのサポートページです。悪用については、2026年10月23日時点で、CISAが10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないと書いています。同じく10月23日時点で、QNAPのアドバイザリは、PHPを狙った悪用の試みが公に報告されているとしています。

家庭用ルーターでは何をすればいいですか

自分ではソフトウェアの中身を確かめられない機器として扱います。警察庁は2023年3月の注意喚起で、サイバー攻撃事案の捜査の過程で家庭用ルーターが攻撃に悪用されていたことがわかったとして、対策を示しています。攻撃者が外部から不正に操作して、ルーターの機能を有効にする手法だったとしています。具体的な設定の場所は機種ごとに違うので、取扱説明書やメーカーのホームページで確認するよう書いています。

  1. ルーターのメーカーと型番を確かめ、その型番のサポートページを開きます。
  2. セキュリティ情報やファームウェアの更新が出ていないか確認します。警察庁は、常に最新のファームウェアを使うよう求めています。
  3. メーカーがファームウェアの更新を出していれば適用します。
  4. 管理画面をインターネットに公開しないようにします。IPAは家庭用ルーターなどについての注意喚起で、管理インターフェースは外部に公開せず、不要なサービスやポートは止めるよう勧めています。警察庁も、「インターネット（外部）からルーターの管理画面への接続設定」が見覚えなく有効になっていないか、定期的に確認するよう求めています。
  5. 使っていなければUPnPを見直します。JPCERT/CCは、ルーターによってはUPnP機能が初期設定で有効になっていることがあるとして、設定の見直しを勧めています。理由はUPnPとポートフォワーディングのガイドで説明しています。
  6. 初期設定の単純なIDやパスワードのままなら変更します。警察庁はこれを従来の対策の一つに挙げ、JPCERT/CCは、取扱説明書に載っている機器共通の初期パスワードは第三者に悪用されやすいとしています。
  7. 見覚えのない「VPN機能設定」や「DDNS機能設定」、VPNアカウントが追加されていないかも確認します。警察庁は、見覚えのない設定があった場合は、ルーターを初期化し、ファームウェアを最新にしたうえで、パスワードを複雑なものに変えるよう書いています。

メーカーのサポートが終わったルーターは、警察庁によると脆弱性を直すファームウェアの更新が行われないため、買い替えの検討を求めています。

自宅にNASもある場合、SynologyとQNAPはそれぞれアドバイザリを出しています。内容はNASのガイドにまとめています。

よくある質問

PHP2Shellの影響を受ける製品の一覧はありますか

英国のNCSCは、PHPに依存していて影響を受ける可能性のあるソフトウェア製品の一覧として、オランダのNCSC-NLがGitHubで管理しているリストを紹介しています。リストは状況に応じて更新中だとしているので、出発点として使ってください。自分の機種については、メーカー自身の告知がいちばん確かです。

ルーターのPHPを自分で更新できますか

ほとんどの家庭用ルーターではできません。PHPが入っているとしても、それはメーカーのファームウェアの一部なので、修正もファームウェアの更新として届きます。pfSenseとOPNsenseは別で、持ち主が各プロジェクトの告知の手順に従って、自分で更新版のPHPを入れます。

管理画面が自宅からしか開けないなら安全ですか

Netgateは、管理画面を信頼できないネットワークに公開せず、Captive Portalも使っていないpfSenseは影響を受けないが、それでも更新はするよう勧めています。QNAPは、アクセスをローカルネットワークに限っても、すでに侵害されたネットワーク内の機器からの攻撃は防げないと注意しています。どちらにしても、答えは更新です。

更新がまだないときの回避策はありますか

PHPプロジェクトは、完全な解決策は更新だけだとし、挙げている一時的な設定は露出を減らすだけで、インストールを安全にするものではないとしています。これらの設定はPHPを自分で運用している人向けです。ルーターについては、管理画面をインターネットに出さず、メーカーの更新を適用することが、持ち主にできることです。

PHP2Shellとは何ですか

2026年10月21日に公表された、PHPの2件の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）の呼び名で、どちらもCVSS v4.0で9.2と評価されています。修正版のバージョンはPHP2Shellの解説にまとめています。

出典