Linuxカーネルの脆弱性（CVE-2026-46300）が悪用確認リスト入り、PHPの「PHP2Shell」と組み合わせてWebシェル設置とroot奪取 — 自社サイトのサーバーはPHPとOSの両方を更新
米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年10月28日、Linuxカーネルの脆弱性CVE-2026-46300を、悪用が確認された脆弱性の一覧（KEV）に追加した。CISAは、この脆弱性がPHPの脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）と組み合わされると、PHPのWebシェル（遠隔操作用の裏口）を置かれ、root権限（サーバーの全権限）でコマンドを実行されうると説明している。自社サイトやWordPressをLinuxのレンタルサーバーやVPSで動かしている中小企業は、PHPとOS（カーネル）の両方の更新を、誰がいつ行うのかを確かめたい。
背景
CVE-2026-46300は、Linuxカーネルの通信処理にある変数の初期化漏れ（CWE-456）である。受信したデータをまとめる処理で、「このデータは共有されている」という印が失われる。その結果、IPsec（暗号化通信の仕組み）の受信処理が、本来は書き換えてはいけないページキャッシュ（ファイルの内容をメモリに置いたもの）上のデータを、復号のついでに上書きしてしまう。CISAは「ページキャッシュ上のデータが意図せず書き換えられうる」としている。
この脆弱性は3.9以降のカーネルに含まれ、修正は2026年5月に公開されている。米国の脆弱性データベース（NVD）によれば、各系列の修正済みの版は5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10以降である。ただし、Red Hat系やUbuntuなどのディストリビューションは独自の版番号で修正を取り込むため、実際には各ディストリビューションのセキュリティ情報で確かめる必要がある。
組み合わせて使われるPHP2Shellは、Webのリクエストを処理するPHPに、ログインなしで任意のプログラムを実行される脆弱性2件である。CISAは10月21日に緊急の注意喚起を出し、10月26日にKEVへ追加した。CISAの注意喚起では、Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、Webのリクエストを処理するPHPはすべて対象とされる。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35である。
時系列は次のとおりである。
- 2026年5月23日：CVE-2026-46300が登録され、カーネルの修正が公開
- 10月21日：CISAがPHP2Shellについて「直ちに修正を」と注意喚起
- 10月26日：CISAがPHP2Shellの2件をKEVに追加
- 10月28日：CISAがCVE-2026-46300をKEVに追加。米国の連邦機関には10月31日までの対応と、侵害の有無の調査（フォレンジック）を求めている
リスクの全体像
CISAの説明を踏まえると、想定される流れは次のとおりである。まずPHP2Shellで、Webサーバーの権限のままWebシェルを置く。次にカーネルの脆弱性を使ってroot権限まで上がる。Webサーバーの権限だけなら被害はそのサイトの範囲にとどまることが多いが、rootを取られるとサーバー全体を乗っ取られる。同じサーバーのほかのサイトやデータベース、ログまで書き換えられ、侵入の痕跡を消されるおそれもある。
中小企業が見落としやすいのは、更新の担当が分かれていることである。共用のレンタルサーバーでは、PHPの版は利用者が管理画面で選び、カーネルは事業者が更新する。VPSやクラウドのサーバーでは、カーネルの更新も自社か制作会社の仕事になる。カーネルは更新しても再起動するまで古いまま動き続けるため、「更新したつもり」が起きやすい。PHPだけ更新して安心していると、すでに置かれた裏口とカーネルの穴が残る。
もう1つの問題は、古いPHPである。CISAは、PHP 8.1以前のサポートが切れた版を使っているシステムは、ネットから切り離すよう求めている。修正版が提供されないためである。中小企業のサイトでは、制作当時のPHPのまま何年も動いている例が珍しくない。過去にもWordPress本体の脆弱性のように、更新が止まったサイトが狙われてきた。
チェックリスト
自社サイトやWordPressをLinuxのサーバーで動かしている企業は、次の点を確かめる。
- サーバーの種類は共用レンタルサーバー、VPS、クラウドのどれか。PHPとカーネルの更新はそれぞれ誰の担当か
- PHPの版は何か。8.5.12、8.4.27、8.3.36、8.2.35以降か。8.1以前を使っていないか
- VPS・クラウドの場合、カーネルを更新し、再起動まで済ませたか（
uname -rで動いている版を確認する） - レンタルサーバーの場合、事業者がCVE-2026-46300とPHP2Shellへの対応を告知しているか
- 公開フォルダに、心当たりのないPHPファイルや、最近更新された見覚えのないファイルがないか
- PHPのプロセスがシェルを起動したり、外部からツールをダウンロードしたりした形跡がないか
打ち手
最初に、制作会社やサーバー管理者に、PHPの版、カーネルの版、最後に再起動した日を確認する。PHPが修正版より古ければ、すぐに更新する。サポート切れの8.1以前なら、CISAの勧めどおりサイトをいったん止めることも検討する。VPSやクラウドでは、ディストリビューションのカーネル更新を当てて再起動する。すぐに更新できない場合は、WAF（Webアプリケーションを守る防御装置）でつなぎの防御を入れる。
次に、侵害されていないかを調べる。CISAがKEVの追加と同時に事後調査を求めているのは、修正前に裏口を置かれていれば更新だけでは消えないからである。公開フォルダの不審なファイル、見覚えのない管理者アカウント、サーバーの不審な通信を確認する。判断が難しければ、Webサイトの調査に慣れたセキュリティ会社に依頼する。rootを取られた形跡があれば、サーバーを作り直すことも視野に入れる。
中長期では、保守契約にPHPとOSの両方の更新を明記する。重大な脆弱性は何日以内に当てるか、再起動まで含むか、侵害時の調査を誰が行うかを書いておく。自社でPHPとカーネルの版を控えておくだけでも、次の公表時に確認が早くなる。
あわせて読みたい
- Acronis Backup の cPanel / Plesk / DirectAdmin 版に権限昇格（CVE-2026-87886）、悪用確認 — レンタルサーバーのバックアップ機能が root 奪取の足場に
- 国産WAF「SiteGuard Server Edition」の統計機能にroot権限を奪われる脆弱性（CVE-2026-106931）、悪用を確認 — 更新の前に「診断情報」を保存する
- CISA KEVに悪用確認済みの脆弱性5件を追加 — Apache Struts・ProFTPD・BINDなど、修正から10年経っても更新されないサーバーが狙われる
Omamori AI の結論
- 事実: Linuxカーネルの脆弱性CVE-2026-46300が10月28日にCISAの悪用確認リストに入った。CISAは、PHPの脆弱性PHP2Shellと組み合わせるとWebシェルの設置とroot権限での実行につながりうるとしている。
- 判断軸: PHPだけ更新しても、カーネルの穴と既に置かれた裏口は残る。PHPとOSの更新が誰の担当で、再起動まで済んでいるかを問う。
- 打ち手: PHPを修正版へ、カーネルを更新して再起動する。8.1以前のPHPは止めることも検討し、不審なファイルの有無を調べる。
経営者視点で考えるべきこと
自社サイトのサーバーは、作った後は「動いているから大丈夫」と放置されがちである。しかし今回のように、Webのプログラムの穴とOSの穴が組み合わされると、サイト1つの改ざんでは済まず、サーバー全体を奪われる。経営者が押さえるべきことは、サーバーの種類、PHPとOSの更新の担当者、最後に更新した日の3点である。制作会社に「PHPとカーネルの更新は済んでいるか」と一言聞くだけで、被害を避けられる可能性がある。答えが曖昧なら、保守の体制そのものを見直す時期である。
