組織

PHP2Shell の影響を受けたのは誰か

未修正の PHP を動かしている組織はすべて危険にさらされています。ここに挙げるのは目に見える対応をとった組織で、ほとんどは予防的なサービス停止であり、侵害が確認されたわけではありません。

最終確認 2026-10-22

停止＝侵害ではない

以下の組織はいずれも侵害を報告していません。パッチ適用のためにサービスを止めるのは、重大なバグへの慎重な対応で、むしろ良い兆候です。確認済みで出典のある情報のみ掲載しています（最終確認 2026-10-22）。

サービス停止と声明

BambooHR

サービス停止（予防措置）

10 月 21 日 11:51 UTC、予防措置として app.bamboohr.com と www.bamboohr.com を停止（米国、カナダ、アイルランドのデータセンター）。給与処理が止まると告知。15:03 UTC に修正を適用し、16:01 UTC の時点でもまだ検証中。侵害の報告はなし。

出典: BambooHR status page

オランダ政府（DigiD、MijnOverheid、下院、NCSC、個人データ保護機関）と教育システム

サービス停止（予防措置）

10 月 21 日に予防措置として停止。Logius によると、他機関での DigiD ログインは引き続き利用可能だった。オランダ NCSC は悪用を確認していない。オランダの検索関心が最も高い理由はこれ。

出典: NOS

Cloudflare

声明・対応

10 月 21 日 03:02 UTC から全プランで WAF ルールが有効。初期の攻撃と、ペイロードが変形されていることを報告。

出典: Cloudflare blog

Chainguard

声明・対応

10 月 21 日 07:41 UTC、協調公開より前に修正済みの PHP イメージを公開。

出典: PHP Foundation

eMudhra

無関係

PHP2Shell の被害者ではありません。同じ時期のニュースに上がった別件で、eMudhra の中間 CA の脆弱な秘密鍵 8 本が復元され、10 月 20 日に公表されました。Mozilla が OneCRL で失効を配信済み。ブラウザ、トラストストア（例：certifi 2026.10.19）、Go（1.27.3 / 1.26.10）を更新してください。

出典: Trilogy AI

利用中の事業者は影響を受けている？

  • 事業者のステータスページと、セキュリティ／トラストセンターのページを確認しましょう。
  • 直接こう尋ねてください：「御社サービスのすべての PHP 実行環境は CVE-2026-109618 と CVE-2026-109619 に対応して更新済みですか？悪用の兆候はありましたか？」
  • PHP2Shell を口実にログインやパスワードの再設定を求めるメールには注意してください——このニュースはフィッシングの格好の餌です。

関連ページ