Insignaryは11月4日、PHPとNode.jsのランタイム脆弱性「PHP2Shell」「Node2Shell」の影響有無を無料で検査できるツール「insignary-chk」の公開を発表した。対象はLinuxサーバーとコンテナ環境で、同社Webサイト（insignary.com）のFree Toolsメニューから無料でダウンロードできる。
PHP2Shellは、PHPランタイムに見つかった2件の欠陥(CVE-2026-109618、CVE-2026-109619)である。認証なしでリモートコードを実行できるとされる。影響を受けるのはPHP 8.2〜8.5系で、PHP-FPM、Apache mod_php、php-cgiなど、Webリクエストを処理する構成が該当する。ランタイムレベルの欠陥のため、コードレビューだけでは検出が難しい。ベンダー製ソフトウェアやコンテナイメージに含まれるPHPまで把握する必要がある。修正済みバージョンはPHP 8.5.12、8.4.27、8.3.36、8.2.35である。
Node2Shell（CVE-2026-111497）は、Node.jsに組み込まれたBrotliの伸張処理で起きる境界外書き込み（out-of-bounds write）の欠陥である。細工された圧縮データを処理すると、リモートコード実行につながる可能性がある。影響を受けるのはNode.js 22.x、24.x、26.xで、それぞれ22.23.4、24.22.1、26.12.1で修正された。サポートが終了した20.x以前には修正版が提供されないため、サポート対象バージョンへの移行が必要となる。
insignary-chkはインストール作業や会員登録が不要で、ダウンロード後すぐに検査を始められる。検査時に収集した情報は外部に送信しないため、セキュリティ要件の厳しい環境でも利用できるとしている。検査結果は優先度順に表示されるため、緊急対応が必要な項目から確認できる。
検査レポートの冒頭には、次の3種類の件数が表示される。
- 今すぐ対応が必要な項目
- インストール済みだが実行されていないため、早めの対応が推奨される項目
- 手動での確認が必要な項目
その下に、検査したサーバーやイメージごとの詳細結果が続く。
同社は、バイナリベースのソフトウェア構成分析（SCA）技術を主力製品「Clarity」で展開している。この技術により、ソースコードがなくても、ソフトウェアやコンテナイメージに含まれるコンポーネントとバージョンを特定できる。insignary-chkは、2件の脆弱性に特化したツールとして、同社が別途開発した。
【関連記事】
・ペンタセキュリティ、PHP脆弱性「PHP2Shell」の影響を確認できる無料診断サービスを提供開始
・Ubuntu、PHPの重大な脆弱性「php2shell」の修正版を公開
・OpenAI、PHPの脆弱性発見の経緯を公表
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
