関連インシデント · 2026年10月22日更新
PHP サイト・サーバー運用者向けの関連セキュリティインシデント
PHP サイトのリスクは PHP 本体の CVE だけではありません。PHP サーバーが依存するライブラリ、証明書ストア、パッケージリポジトリ、CMS で起きたインシデントを、自分で実行できる確認手順とともにまとめます。
最終更新
インシデント
- eMudhra の脆弱な CA 鍵（2026年10月）中間 CA 8 件の秘密鍵が容易に算出可能でした。PHP の curl/OpenSSL がまだ信頼しているか確認します。
- 2026年の CMS Webshell キャンペーンWordPress プラグイン、Craft CMS、Joomla JCE などの大規模悪用に関する ACSC の警告。
- laravel-lang と Packagist のサプライチェーン攻撃2026年4〜5月、乗っ取られたタグがインストール時やリクエストごとにマルウェアを実行しました。
- 2026年の OpenSSL 高深刻度アドバイザリ3 件の高深刻度バグと、PHP がどの OpenSSL を使っているかの確認方法。
PHP2Shell 自体については概要と対策をご覧ください。
出典
外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。
- Protecting Firefox users following the compromise of eMudhra intermediate certificates (20 October 2026) — Mozilla Security Blog
- Large-scale exploitation campaign targeting website content management systems (9 July 2026) — Australian Cyber Security Centre (ASD’s ACSC)
- An update on Composer & Packagist supply chain security (27 May 2026) — Packagist blog
- Vulnerabilities list — OpenSSL