【調査レポート】PHP重大脆弱性「PHP2Shell」、あなたの工場のどこにPHPがあるか答えられますか OTセキュリティのOVELが制御機器への波及を調査

株式会社OVEL（本社：東京都渋谷区、代表取締役：岡 昂正）は、2026年10月21日に公表されたPHPの重大な脆弱性2件（通称「PHP2Shell」）について、工場やプラントの制御システム（OT）への波及を、メーカーおよび公的機関の公開情報から調査し、その結果を公開します。

調査結果の要点

• 影響が確定しているのは、工場向けの機種もあるファイアウォールのOS。 Palo Alto NetworksはPAN-OS（10.2〜12.2の全版）と管理製品のPanoramaが影響を受けると公表しました。修正版の時期は未定です。同社は工場など過酷な環境に置くファイアウォール（PA-220R、PA-450Rなど）も販売しており、これらが対応するPAN-OSの版には影響を受ける版が含まれます。制御システムの現場にどれだけ導入されているかは分かっていません。
• 制御機器にもPHPは入っている。 PLCの管理画面、タッチパネル型HMI、制御・保護リレー、遠隔監視装置（RTU）、IO-Linkマスター、産業用スイッチ、太陽光発電・EV充電・燃料管理の装置で、PHPの使用がメーカーや公的機関の文書から読み取れました。
• 公開ファームウェアの同梱PHPが、影響範囲に入っている例がある。 ドイツの制御機器メーカーWAGOが公開しているPLCとタッチパネルのファームウェアのソースでは、最新版でもphp-cgiが有効で、同梱PHPは8.4.10でした。PHPの開発チームは8.4.27より前を影響範囲としています。
• CISAの勧告でも、PHPを使う制御製品は毎年見つかっている。 米CISAの制御システム向け勧告3,970件のうち、製品がPHPを使うと読み取れるものは22件でした。2026年は10月21日までで7件と、2021年以降で最も多くなっています。数えたのは勧告の件数で、制御機器のうちPHPを使う機器の割合ではありません。
• 制御機器への影響は、まだ分からない。 10月22日時点で、制御機器そのものについて影響ありと公表したメーカーは見つかっていません。告知がないことは「影響なし」を意味しません。

背景：PHP2Shellとは

PHPは、ウェブサイトやウェブアプリケーションを動かすプログラミング言語です。PHPの開発チームは10月21日、認証なしに遠隔からプログラムを実行される恐れがある脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正した版（8.5.12、8.4.27、8.3.36、8.2.35）を公開しました。深刻度はいずれもCVSS v4.0で9.2です。PHPの開発チームは、ウェブの要求を処理するすべてのPHPが危険にさらされるとし、その中に組込み機器でもよく使われる「php-cgi」という動かし方を含めています。8.1以前の版には修正版は提供されず、ソースへの最小限の修正だけが配られました。発見者の一社であるWiz Researchは、5.4までさかのぼるほぼすべての版が影響を受けるとしています。

日本では高市首相が10月21日、修正パッチの速やかな適用が難しい場合は、ウェブサイトを一時的に停止させることもリスクを下げる有効策の一つだとXで呼びかけました。IPAも、更新までの暫定策として、外部からのアクセスの遮断やサービスの一時停止が必要かを判断するよう案内しています。

この脆弱性の発見にはAIが使われました。発見と対応の調整に関わったOpenAIは、同様の発見が今後数か月で急増すると見込んでいます。

調査で分かったこと

1. 影響が確定しているのは、ファイアウォールのOS（PAN-OS）

Palo Alto Networksは10月21日、同社のファイアウォールのOSであるPAN-OS（10.2〜12.2の全版）と、管理製品のPanoramaがPHP2Shellの影響を受けると公表しました。影響を受けるのは管理画面（ウェブの管理画面とXML API）で、管理画面がインターネットから届く場合に危険が最も高いとしています。修正版の時期は未定で、同社は悪用をまだ把握していないとしています。

同社は、工場など過酷な環境に置くファイアウォール（PA-220R、PA-450Rなど）も販売しており、これらが対応するPAN-OSの版には、影響を受ける版が含まれます。また、SiemensはPAN-OSが動く産業用の通信機器RUGGEDCOM APE1808を提供しています。ファイアウォールは、事務系のネットワークと工場のネットワークの境目を守る機器です。ただし、これらの機器が制御システムの現場にどれだけ導入されているかは分かっていません。

2. 制御機器にもPHPは入っている

米国のCISA（サイバーセキュリティ・インフラストラクチャー安全保障庁）やドイツのCERT@VDEなどが公開した勧告や、脆弱性の公式な記録（CVE）から、PHPを使う制御機器が見つかりました。

また、ドイツの制御機器メーカーWAGOがGitHubで公開しているファームウェアのソースを調べたところ、PLC（PFC200、PFC100、PFC300、CC100）とタッチパネル（Touch Panel 600）のいずれも、公開されている最新のソースでphp-cgiが有効になっており、同梱されたPHPは8.4.10でした。PHPの開発チームは、8.4.27より前の8.4系を影響範囲としています。ただし、公開されているソースは出荷された製品と完全に同じとは限りません。また、PHPの版が影響範囲に入っていることと、その機器で攻撃が成立することは別であり、後者は確認できていません。WAGOは10月22日時点で、PHP2Shellについての告知を出していません。

3. CISAの勧告でも、PHPを使う制御製品は毎年見つかっている

CISAが公開している制御システム向けの勧告3,970件を当社が全文で調べたところ、製品がPHPを使っていると読み取れるものは22件でした。2021年以降は毎年1〜3件見つかっており、2026年は10月21日までで7件と、最も多くなっています。ただし、数えたのは勧告の件数です。制御機器のうちPHPを使う機器の割合を示すものではありません。

勧告にPHPの名前が出るのは、脆弱性がPHPの部分にあった場合などに限られるため、実際にPHPを使う製品はこれより多いと考えられます。CISAも今回の注意喚起で、PHPは他のソフトウェアの部品として入っていることが多く、使われていることが外から見えない場合があると指摘しています。

4. 制御機器への影響は、まだ分からない

10月22日時点で、PHP2Shellについて告知を出したメーカーのうち、制御機器そのものについて影響ありと公表したメーカーは見つかっていません。Ciscoは影響を受けると分かっている製品はないとし、産業用の無線製品を含む多数の製品を調査中としています。主要な制御機器メーカーからの告知は、まだ見つかっていません。告知がないことは「影響なし」を意味しません。

製造業への3つの提言

1. 「どこにPHPがあるか」を答えられるようにするウェブサイトは一時停止で凌げても、PLCや操作画面そのものを止めれば生産が止まります。管理画面の機能だけを無効にできるか、ネットワークで遮断できるかは、機器ごとに異なります。まず、ウェブの管理画面を持つ制御機器を洗い出し、メーカーが公開しているオープンソースの一覧やソフトウェア部品表（SBOM）でPHPの有無と版を確かめることを勧めます。分からない機器はメーカーに問い合わせ、回答を台帳に残します。
2. 修正版が出るまで、管理画面に届く経路を絞る制御機器のファームウェアの更新は、メーカーの修正と現場での検証を経るため、ウェブサーバーのようには進みません。組込み機器の中のPHPは、利用者が設定を変えたり入れ替えたりできません。修正版が出るまでの間にできるのは、管理画面に届く経路を絞ることです。制御機器とファイアウォールの管理画面を事務系のネットワークやインターネットから触れない位置に置き、入れる相手を決めた端末だけにすること、ネットワークを区画に分けて区画の境目で通信を検査すること（IEC 62443の考え方）を勧めます。CISAも制御システムの勧告で、制御機器をインターネットから触れない位置に置き、事務系のネットワークから切り離すよう勧めています。Palo Alto Networksのファイアウォールを使っている場合は、同社の案内どおり、管理画面に入れる相手を信頼できる内部のIPアドレスか踏み台の端末に絞ってください。修正版が出たら、検証したうえで適用します。
3. 侵入される前提で、被害を区画の中に閉じ込めるPHPの開発チームは、詳細が公になった場合には修正版の公開を前倒しすると事前に告知していました。OpenAIも、最先端のAIと広く使えるAIの能力の差が小さい場合、修正の準備にかけられる時間は限られる可能性があると述べています。修正版が出る前に攻撃が始まることを前提に、侵入された機器から制御の中枢へ広がらない設計と、止まった設備を戻す手順を、平時から決めておくことを勧めます。

当社の取り組み：まずはご相談ください

当社は、制御システムのセキュリティを本業とし、工場の設備を写したデジタルツインで攻撃の通り道を確かめる事業と、サイバー攻撃を前提とした事業継続計画（サイバーBCP）を策定し、更新し続ける事業を行っています。今回の件を受け、製造業・社会インフラ事業者の皆さまから、次のご相談を受け付けます。

• 自社の制御機器にPHPが入っているかの確認。 お手元の機器リスト（メーカー・型番・ファームウェア版）を、本調査と同じ方法で公開情報と照合し、PHPの有無と版、影響範囲に入るかどうかをお返しします。本番環境には触れません。
• 修正版を待つ間の守り方。 管理画面の遮断、ネットワークの区画分け、侵入を前提とした封じ込めと復旧の設計について、貴社の構成に合わせてご提案します。

「うちの工場のどこにPHPがあるのか」。この問いに答えを持っている製造業は、まだ多くありません。影響の有無が分からない今だからこそ、把握から始めることをお勧めします。機器リストが手元にない、何から手を付ければよいか分からない、という段階でも構いません。下記フォームよりお気軽にご相談ください。

ご相談はこちら（お問い合わせフォーム）

調査の方法

メーカーの文書・勧告、公的機関の告知、PHPの開発チームの公式情報、CVEの記録、発見者の公式ブログのみを根拠としました。CISAの勧告は、CISAが公開している機械可読のデータ（2026年10月21日時点、制御システム向け3,970件）を全文で検索したうえで、PHPに触れた33件を1件ずつ読み、製品がPHPを使っていると読み取れる22件を数えました。メーカーの告知の状況は2026年10月22日時点のものです。

主な出典

• PHPの開発チームの告知：php.net
• CISAの注意喚起：cisa.gov
• IPAの注意喚起：ipa.go.jp
• JPCERT/CCの注意喚起：jpcert.or.jp
• 高市首相の投稿：x.com
• Wiz Research：wiz.io
• OpenAI：openai.com
• Palo Alto Networks：security.paloaltonetworks.com
• Cisco：sec.cloudapps.cisco.com
• CISAの制御システム向け勧告のデータ：github.com
• WAGOの公開ソース（PHPの版とphp-cgiの設定）：pfc-firmware-sdk-G2、pfc300-firmware-sdk、cc100-firmware-sdk、tp-firmware-sdk
• CERT@VDE（IO-Linkマスター）：VDE-2026-014、VDE-2026-027、VDE-2026-028

会社概要