JFrogの研究者は、CVE-2026-109618およびCVE-2026-109619として識別されたPHP2Shellの脆弱性に関する新たな分析を公開しました。彼らによると、これらの脆弱性は特別な設定やプラグインを必要とせず、多くのウェブサイトで使用されているプログラミング言語であるPHPエンジン自体に直接影響を与えます。
この研究において、研究者らは脆弱性の公開前にその動作を再構成したと述べています。また、脆弱性が悪用可能であることを実証するプログラムである、機能する概念実証（PoC）を開発しました。
アプリケーションの保護をすり抜ける脆弱性
JFrogのコンテキストセキュリティスキャナーによると、この脆弱性はマルチパートPOSTリクエストの処理およびセッション進捗状況追跡ファイルに影響を与えます。悪意のあるデータは、アプリケーションスクリプトが実行される前に、すなわち生の形式から再構築される（デシリアライズされる）ため、アプリケーションのロジックでは悪意のあるコードをブロックできません。
JFrogによれば、このエクスプロイトはセッション進捗状況に関連するPHPのメカニズムを悪用し、偽のオブジェクトのシリアライゼーションを用いて、次に実行する命令をプロセッサに指示するコンポーネントであるRIPレジスタの制御を奪います。これにより、認証なしでのリモートコード実行（RCE）を可能にしたり、Heartbleedの場合のようにメモリの内容を暴露したりすることができます。
流通する偽のエクスプロイト
セキュリティチームがパッチの適用に取り組む中、JFrogはGitHub上で偽のエクスプロイト概念実証を発見しました。これらのコンテンツは混乱に乗じた悪意のあるアクターによって拡散されており、いたずら目的のマルウェアも流通しています。
JFrogは、自社製品のXrayおよびCatalogが脆弱性CVE-2026-109618およびCVE-2026-109619に関する情報を統合したと発表しました。目的は、企業が自社環境を分析し、影響を受けるシステムを特定するのを支援することです。エクスプロイトのメカニズムを詳細に説明する完全な技術分析は、JFrog Researchブログで入手可能です。
JFrogセキュリティリサーチチームリードのNiv Lanyadoは、広範な監視の必要性を強調しています：
「PHP2Shellにおいて、企業はこの脆弱性がアプリケーションコードの実行以前に、PHPエンジンのコアでトリガーされることを理解する必要があります。したがって、アプリケーションレベルでの従来の保護ではこれをブロックできず、コード内での回避策もこれを解決できません。特に、ベンダーからのバイナリ更新を受け取らなくなった古いPHPインストールや寿命の尽きたインストールを特定するために、すべての環境にわたる自動化された可視性が不可欠です。目的は、影響を受けるすべてのシステムが直ちに修正または隔離されることを確実にすることです。」
