Aikido製無償PHPイメージでPHP2Shellに対処する方法

【なぜ重要か】 PHP2Shell（CVE-2026-109618・CVE-2026-109619）はCVSS v4.0スコア9.2のクリティカルなリモートコード実行（RCE）脆弱性で、未認証の攻撃者がPHPリクエストを処理するサーバー上で任意のコードを実行できる。Cloudflareはすでに悪用が始まっていると報告しており、早急な対応が求められる。PHP 8.1以前は公式サポートが終了しており上流からの修正提供がないため、古いバージョンを使い続けているシステムへの影響が特に深刻である。

【ポイント】

• PHPは2025年10月21日に8.5.12・8.4.27・8.3.36・8.2.35で修正をリリース済み。PHP 8.2以降を使用している場合はこれらのバージョンへの更新が推奨される。
• AikidoはPHP 5.5〜8.5（8.0を除く）の各リリースラインに対応した修正済みコンテナイメージを無償で公開している（Amazon ECR: public.ecr.aws/aikido-dev/php）。上流が修正を提供しないサポート終了バージョンにも、PHP2Shellの修正がバックポートされている。
• 各イメージはapache・cli・fpmなど複数バリアントを用意しており、DockerfileのFROM行を変更するだけで適用できる。バージョン番号はそのまま維持されるため、アプリケーション側の変更は不要。
• イメージ切り替え後は全コンテナの再ビルドと再デプロイが必要。またphp.iniまたはPHP-FPMプール設定でsession.upload_progress.enabled=0を設定することを推奨する（CVE-2026-109619への悪用経路の一つ）。
• Aikidoが提供する無償の「PHP2Shellチェッカー」で公開URLの脆弱性状態を確認できる。また侵害の痕跡確認方法についてはAikidoの別記事に詳細が記載されている。

【まとめ】 PHP2Shellは悪用が確認されているCVSSスコア9.2の緊急脆弱性であり、即時対応が必要である。PHP 8.2以降はオフィシャルの修正バージョンへ更新し、それより古いバージョン（5.5〜8.1）を使用している場合はAikidoの無償ECRイメージに切り替えることで、アプリケーションを書き換えることなくPHP2Shell対策を適用できる。