昨日修正版が公開されたPHPの重大な脆弱性「PHP2Shell」について、Cloudflareが世界規模で数百万件の攻撃試行を観測したと報じられました。
CloudflareのMatthew Prince CEOによる報告では、公開前の約10時間に数千件だった攻撃試行が、公開後45分で数万件、2時間で数十万件、その後は数百万件に増加しています。
Reuters
+1
今回の数字は攻撃試行件数であり、侵害されたサイト数ではありません。 成功した侵害の規模は確認できていません。
Cloudflareは攻撃者がWAFを回避するために攻撃内容を変化させていることも確認しています。WAFは補助的な防御であり、PHP自体の修正が必要です。
Cloudflare Blog
修正版は前回通知したPHP 8.2.35、8.3.36、8.4.27、8.5.12から変更ありません。
TM WebWorksブログへの追記案
【2026年10月22日追記】PHPの脆弱性を狙う攻撃試行が数百万件規模に拡大
PHPの重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）について、修正版公開後に攻撃試行が急増していることが報告されました。
Cloudflareでは数百万件規模の攻撃試行が観測されており、攻撃者が防御を回避するために手法を変化させていることも確認されています。
ただし、これらは攻撃試行の件数であり、実際に侵害されたサイト数を示すものではありません。
WordPress管理者は、利用中のPHPに修正が適用されているか、レンタルサーバー会社の公式案内を確認してください。WordPress本体やプラグインの更新だけでは、今回のPHPの脆弱性は修正されません。
公式・関連情報： Cloudflareの技術報告 ／ PHP公式