2026 年 10 月 27 日は、ランタイムセキュリティにとって歴史的な転換点となりつつあります。Node.js に組み込まれた Brotli 圧縮ライブラリ、政府機関への攻撃に既に兵器化された 2 件の緊急 PHP 脆弱性、そして Wasmtime における WebAssembly サンドボックス脱出バグのペアという、3 つの異なるが主題的に関連した脆弱性開示が明確な状況を示しています。現代のアプリケーションが依存する基盤ランタイムが、組織的かつ高度な攻撃にさらされているのです。CISA が新たな国家サイバー防衛戦略を発表し、2 件の PHP CVE を既知の悪用された脆弱性 (KEV) カタログに追加したことで、防御コミュニティからのシグナルはこれ以上ないほど明確です。

最も緊急性の高い事態は、CVE-2026-109618 と CVE-2026-109619 の悪用が確認されたことです。これらは総称して PHP2Shell と追跡されています。PHP Group によるこの 2 件の脆弱性、すなわちメモリ破損の欠陥と古い内部リクエスト状態の欠陥は、既に政府機関の侵害に使用されています。脅威インテリジェンスによると、初期アクセスから 2 時間以内に侵害後の認証情報窃取が発生しており、AI 支援による攻撃自動化がキルチェーンを加速させている信頼性の高い兆候も確認されています。初期足がかりから認証情報収集への移行がこれほど速いのは、自動化の直接的な結果です。攻撃者はもはや侵害後の手順を手動で実行していません。両 CVE は現在 CISA の KEV リストに掲載されており、連邦機関は強制的な修正期限に直面していますが、インターネットに公開された PHP アプリケーションを運用するすべての組織が同等の緊急性をもって対応すべきです。

名称は似ていますが仕組みが異なるのが HTTP2Shell です。これは Node.js に同梱されている Brotli C デコーダーライブラリの緊急の欠陥です。Brotli は HTTP/2 トラフィックで広く使用される圧縮アルゴリズムであるため、攻撃対象領域は膨大です。Brotli エンコードされたコンテンツを解凍する Node.js サービスはすべて潜在的に影響を受けます。悪用に成功した場合、攻撃者はメモリを破損し、シークレット、トークン、セッション情報などのプロセス内の機密データにアクセスできる可能性があります。緊急パッチが発行されていますが、Brotli は個別に管理されるパッケージではなくバンドルされた依存関係であるため、多くのチームは Node.js のバージョンを慎重に監査するまで自分たちが影響を受けていることに気づかない可能性があります。

本日のランタイム脅威の状況を締めくくるのは、広く組み込まれている WebAssembly ランタイム Wasmtime における 2 件の緊急の欠陥です。WebAssembly サンドボックスはサーバーレスプラットフォーム、プラグインアーキテクチャ、エッジコンピューティング環境においてセキュリティ境界として利用が増加しているため、悪意ある WebAssembly モジュールがそのサンドボックスを脱出できることは根本的な信頼の侵害です。悪用には攻撃者が細工した WebAssembly モジュールを脆弱な Wasmtime ビルドに配信する必要があり、これは意味のある前提条件ですが、信頼されていないまたはサードパーティの Wasm モジュールが実行される環境では、この前提条件がすでに満たされている可能性があります。Wasmtime のメンテナーはパッチをリリースしており、組織は Wasmtime を組み込んでいるすべての製品またはプラットフォームを監査すべきです。

これらの脆弱性を総合すると、共通のテーマがあります。いずれも、開発者が攻撃対象領域ではなく信頼されたインフラとして扱いがちなランタイム層に存在しているという点です。圧縮ライブラリのメモリ破損、PHP リクエストハンドラの古い状態、Wasm ランタイムのサンドボックス脱出、これらはいずれも WAF や入力バリデーターが検知するアプリケーション層のバグではありません。防御にはインフラおよび依存関係レベルでの多層防御が必要です。

本日の防御上の優先事項：

- PHP を直ちにパッチ適用してください。インターネットに公開されているすべての PHP サーバーに CVE-2026-109618 と CVE-2026-109619 に対処するベンダーパッチを適用してください。数時間以内にパッチ適用ができない場合は、PHP エンドポイントへの外部アクセスを一時的に制限するか、追加の認証制御の背後に配置することを検討してください。

- Brotli の修正を含むバージョンに Node.js を更新してください。すべての Node.js デプロイメントのインベントリを実行し、パッチ適用済みのランタイムバージョンが導入されていることを確認してください。ベースイメージがアップストリームのパッチより遅れる可能性があるコンテナ化されたワークロードには特に注意してください。

- 環境全体で Wasmtime のバージョンを監査してください。Wasmtime を組み込んでいるすべての製品、プラットフォーム、またはサービスを特定し、脆弱なビルドが実行されていないか確認してください。パッチ適用が確認されるまで、信頼されていない WebAssembly モジュールの実行を制限してください。

- 今すぐ PHP2Shell の侵害指標を探索してください。2 時間という認証情報窃取のタイムラインを考慮すると、インターネットに公開されているパッチ未適用の PHP サーバーはすでに侵害されている可能性があると想定してください。異常な POST リクエスト、PHP ワーカープロセスからの予期しないプロセス生成、見慣れないホストへのアウトバウンド接続についてウェブサーバーログを確認してください。新規または変更された認証情報ストアや最近作成された特権アカウントも確認してください。

- AI 加速型の侵害後活動に対する検知をチューニングしてください。政府機関の侵害で観察された短い滞留時間は、低速な人間のオペレーターに合わせて調整された時間ベースの異常閾値に頼るのではなく、単一の短い時間枠内で発生する権限昇格、認証情報アクセス、ラテラルムーブメントなどの急速な連続アクションに対してアラートを発する検知が防御者に必要であることを示しています。

- CISA の新たな国家サイバー防衛戦略との整合性ギャップを確認してください。本日の勧告を機会として、特にサプライチェーンおよびランタイム依存関係リスクに関して、CISA の更新されたガイダンスに対する重要インフラ保護態勢のベンチマークを行ってください。

- CI/CD パイプラインにソフトウェアコンポジション解析 (SCA) を適用してください。HTTP2Shell と Wasmtime の欠陥はいずれも、バンドルまたは組み込まれた依存関係のリスクを浮き彫りにしています。デプロイ前に脆弱な推移的依存関係にフラグを立てる自動化された SCA ツールは、今やあれば望ましいものではなく、基本要件です。

メモリ破損、サンドボックス脱出、確認された積極的な悪用が単一のニュースサイクルで重なることは、ランタイムセキュリティが解決済みの問題ではないことを改めて示しています。パッチ適用を継続的なプロセスではなく月次のサイクルとして扱う防御者は、開示から悪用までのギャップを自動化している攻撃者に対して常に後手に回ることになります。

このブリーフィングは情報提供を目的としており、状況認識の支援を意図しています。権威ある修正手順については、常に公式のベンダー勧告および CISA のガイダンスを参照してください。