注意すべきは、PHP2ShellがPHP自体の脆弱性であることだ。「WordPress」や「Magento」などのCMS、あるいは独自開発のアプリケーションに個別の更新を適用するだけでは、問題の解消にはならない。PHPの利用状況を確認し、影響を受ける環境に適切な修正を適用する必要がある。

企業が優先して確認すべき3つのポイント

　PHP2Shellへの対応では、影響範囲の把握、修正版の適用、修正完了までの暫定的な防御を並行して検討することが重要だ。

1．自社のWebサイトやシステムが影響を受ける可能性はあるか

　最初に確認すべきなのは、自社のWebサイトや業務システムでPHPが利用されているか、また、利用しているPHPのバージョンが影響対象に該当するかどうかという点だ。

　複数のWebサイトを運営する企業や、開発・保守を外部事業者に委託している企業では、利用しているPHPのバージョンやシステム構成をすぐに把握できない場合もある。こうした場合は、公開Webサイトから確認できる情報を手掛かりに、調査対象を絞り込む方法がある。

　トレンドマイクロは、公開Webサイトの応答情報からPHP2Shellの影響を受ける可能性を確認できる無料ツール「PHP2Shell Exposure Checker」を提供する。診断対象のWebサイトのURLを入力すると、HTTPヘッダなどの外部から確認できる情報を基に、PHP2Shellの影響を受ける可能性を確認できる。影響を受ける可能性があるPHPのバージョンや修正版のバージョンも、同サイトで確認可能だ。

　ただし、診断結果はあくまで目安であり、脆弱性の有無や安全性を保証するものではない。また、Linuxディストリビューションなどでは、バージョン表記を変えずに修正が提供される場合もある。診断結果だけで安全性を判断せず、セキュリティ担当者や運用パートナー、ベンダーなどに確認する必要がある。

2．修正版を適用できるか、対応完了までにどの程度の時間が必要か

　影響を受ける可能性がある場合、基本となる対策は、利用環境に応じた修正版の適用だ。

　ただし、修正作業ではPHPのバージョンを確認するだけでなく、実際の稼働環境や保守体制も考慮する必要がある。複数のシステムを運用している企業や、業務への影響を考慮して事前検証が必要な企業では、修正の完了までに時間がかかることも想定される。

　特に、サポートが終了したPHPを利用している場合は、修正の適用可否や移行方針も含めた検討が必要だ。対象システムを特定し、適用すべき修正版と作業手順を確認したうえで、速やかに対応を進めるべきだ。

3．修正が完了するまで、攻撃をどう防ぐか

　修正版の適用が完了するまで、脆弱性を悪用した攻撃のリスクは残る。そのため、修正作業を進めるだけでなく、対応完了までのリスクを低減する暫定的な防御策も検討する必要がある。

　トレンドマイクロは、同社製品でアップデートの展開が完了するまでの間、脆弱なシステムを保護する仮想パッチを提供している。また、中小企業向けには、Webサイトへの通信をクラウド上で中継し、攻撃を遮断する「TrendLife PHP vulnerability web shielding」を提供する。

中小企業は修正作業と並行した暫定防御も検討

　修正版の適用に時間がかかる場合や、自社内に十分なセキュリティ運用体制を確保できない場合には、暫定的な防御策を組み合わせることも選択肢となる。

　中小企業向けにPHP2Shell攻撃からサービスを保護するトレンドマイクロの「TrendLife PHP vulnerability web shielding」は、Webサイト宛ての通信をクラウドのリバースプロキシで中継し、攻撃を遮断した上で、正当な通信のみを転送する。無料で7日間利用できる。

　ただし、同サービスは修正版を適用するまでの暫定的な防御策であり、PHPの脆弱性そのものを解消するものではない。サービスを利用する場合も、PHPの修正版を速やかに適用することが前提となる。

PHP2Shellへの対応を機に、脆弱性管理と運用体制の見直しを

　PHP2Shellへの対応では、まず自社のWebサイトやシステムが影響を受ける可能性を確認し、利用環境に応じた修正版を適用することが重要だ。修正までに時間を要する場合は、仮想パッチやWebサイトへの攻撃を遮断する仕組みなどを利用し、リスクを低減する必要がある。

　特に中小企業では、セキュリティ専任者の不在や運用リソースの制約から、脆弱性の調査や修正対応が遅れることも考えられる。自社だけで判断することが難しい場合は、システムの運用・保守を委託している事業者などと連携し、影響範囲の把握や修正作業、暫定防御の優先順位を明確にすることが求められる。

　トレンドマイクロは、中小企業のセキュリティ対策を支援する取り組みとして、「ウイルスバスター ビジネスセキュリティサービス」の60日間無料体験も提供している。2026年10月19日に発表した「Japan Cyber Resilience Initiative」（日本向けサイバーレジリエンス支援策）の一環として実施するもので、2026年12月31日までに利用を開始した顧客が対象となる。

　今回のPHP2Shellへの対応は、個別の脆弱性を修正するだけでなく、自社のシステム構成や保守体制、修正完了までの暫定的な防御策を見直す機会でもある。まずは影響範囲の把握に着手し、修正と防御を並行して進めることが重要だ。