「PHPの脆弱性に対応したと連絡が来た。でも、修正する前に何か起きていなかっただろうか」
Webサイトを運営する方から、こうしたご相談をいただいています。サイトが普段どおり表示されていても、過去に不審なアクセスがなかったかは、画面を見るだけでは分かりません。
デッセウェブでは、保存されているログをもとに不審なアクセスの痕跡を確認し、結果と根拠を報告書にまとめる一次調査に対応しています。この記事では、PHP2shellへの対策後に確認しておきたいことと、ログ調査で分かる範囲をご紹介します。
PHP2shellとは？
PHP2shellは、Webサイトやシステムで広く使われているPHPに関する脆弱性、CVE-2026-109618とCVE-2026-109619の呼称です。
IPAは、これらの脆弱性が悪用された場合、遠隔の第三者によって任意のコードを実行される可能性があると注意喚起しています。影響の有無や必要な対策は利用環境によって異なるため、まずはサーバー会社やサービス提供元の案内をご確認ください。
参考：IPA「PHPの脆弱性対策について（PHP2shell）」
パッチを適用しても、過去の状況は分かりません
修正パッチの適用は、脆弱性への重要な対策です。一方で、パッチは「修正前に不正アクセスを受けていなかったか」を調べるものではありません。
仮に対策前に侵害され、不正なファイルやアカウントが設置されていた場合、それらが残ることで、修正後も不正操作を受ける可能性があります。
もちろん、パッチを適用したサイトがすべて被害を受けているわけではありません。ただ、対策の完了と、過去の状況の確認は、それぞれ別の作業として考える必要があります。
もし侵害されていたら、どんな影響がある？
被害の内容は、サーバーの設定や保存している情報、侵害の状況によって異なります。想定される影響には、次のようなものがあります。
- 情報の不正取得：問い合わせ情報や会員情報、サーバーの接続情報などを閲覧・取得される
- サイトの改ざん：ページが書き換えられ、閲覧者が偽サイトなどに誘導される
- サーバーの悪用：迷惑メールの送信や外部への攻撃に使われ、サービスの利用制限につながる
- 不正操作の再発：侵入用の仕組みが残り、表示を修正しても再び改ざんされる
こうした問題は、トップページを開いただけでは気づけないこともあります。発見が遅れると、復旧だけでなく、影響範囲の調査やお客様・取引先への説明に時間がかかる場合もあります。
ログが残っているうちに確認を
ログは、Webサイトへのアクセスなどを記録したものです。サーバーの設定によって保存期間が異なり、古い記録は削除・上書きされます。
記録がなくなると、対策前にどのようなアクセスがあったか、後から確認できる範囲が狭くなります。すぐに調査を依頼するか決められない場合も、まずはサーバー管理者や提供会社に、ログの保存期間と保管方法を確認することをおすすめします。
ログの一次調査で確認できること
デッセウェブでは、サイト所有者または管理権限者の許可をいただいた対象について、保存されているログを確認します。
- 通常と異なるアクセスの集中や、不審なリクエスト
- 気になるアクセスの前後に残っている関連記録
- 攻撃を試みたと考えられるアクセスと、侵害を疑う痕跡の整理
たとえば、不審なリクエストが見つかった場合も、それだけで侵害が成立したとは限りません。記録の前後関係を確認し、判断できることと、ログだけでは判断できないことを分けてお伝えします。HTTPの応答コードだけで攻撃の成否を断定することもありません。
調査対象のサイト、ログの種類、期間、確認項目は、着手前にご相談のうえ決定します。調査は読み取りを基本とし、設定変更や削除は行いません。
調査後にお渡しするもの
調査結果は、次の資料にまとめてご提出します。
- 調査報告書：対象、期間、調査方法、結果、判断理由、未確認事項、推奨する次の対応
- 根拠資料：関連するログの抜粋、集計結果、必要に応じた時系列の整理
機密情報は必要に応じてマスキングします。今後の対応を判断する際や、社内・取引先に状況を説明する際の資料としてご活用いただけます。
費用の目安
- ログ調査：20,000〜50,000円
- 報告書作成・根拠資料の抽出・提出：10,000〜30,000円
- 合計：30,000〜80,000円
ログ量、対象期間、サイト数、確認項目などによって費用は異なります。着手前に調査範囲と総額をお見積もりします。
一次調査の範囲と限界
一次調査には、不正ファイルの削除や復旧、ファイル・データベースの網羅的な改ざん調査、情報漏えいの有無や範囲の確定、継続監視などは含まれません。また、法的手続きや保険請求を目的とした専門的な証拠保全も対象外です。
侵害を疑う痕跡が見つかった場合は速やかにご報告し、必要に応じて追加調査や被害拡大防止、復旧をご相談します。追加作業は、内容と費用についてご了承いただいたうえで進めます。
なお、ログに記録されていない行為や、記録が残っていない期間は確認できません。痕跡が見つからなかった場合も、無被害や安全性を保証するものではありません。
「対策前が心配」という方はご相談ください
すべてのサイトに一律で調査が必要というわけではありません。利用環境や対策時期、不審な兆候の有無を踏まえて、確認の必要性を考えることが大切です。
「パッチは適用したが、それ以前の状況を確認しておきたい」「社内に説明できる材料がほしい」という場合は、デッセウェブまでご相談ください。まずは対象サイトとログの保存状況を確認し、調査できる範囲をご案内します。