「PHPの脆弱性なら、うちの装置には関係ない」。半導体工場でそう言い切れる材料は、10月23日時点でまだありません。PHP2Shellの影響を公表した製品を並べると、出てくるのはNAS上のパッケージや製品の管理ページ、クラウドのサービスで、半導体製造装置ではない。装置・MES・EAPについては、影響の有無を示す一次資料そのものが見当たりません。だからこの記事の結論は「装置は安全」ではなく、「装置はメーカーに書面で問う」です。その返事を待つ間に手を付けるのが、ブラウザで開くウェブの画面と、装置メーカーが外から入ってくる保守の入口になります。
何が発表されたか
PHPに、ログインなしで外からコードを実行され得る脆弱性が2件見つかりました。CVE-2026-109618とCVE-2026-109619、通称PHP2Shellです。
PHPプロジェクトは10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。2件はいずれもCVSS v4.0で9.2。危険な範囲は、公式の告知の言葉でいえばこうなります。
"Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed."
PHP Group, Security advisory（2026年10月21日）
リスクが最も高いのはApacheのmod_php構成です。アプリケーションのコードが動く前に攻撃が成立する実証がある、というのが理由でした。8.1以前はPHPプロジェクトの更新対象から外れています。今回は重大性を踏まえ、7.4・8.0・8.1向けに最小限のソース修正が別に用意されました。
国内では10月22日、IPAが「重要なセキュリティ情報」として対策を公開し、JPCERT/CCも注意喚起（JPCERT-AT-2026-0033）を出しています。JPCERT/CCによれば、PHPは国内で広く利用されている。米CISAの悪用済み脆弱性カタログ（KEV）には、10月23日（UTC）の取得時点で2件とも載っていませんでした。Tenableの解説はAmazon側の「broadly exploited in the wild」という言葉を引いています。KEVに載っていないことは、悪用されていないことを意味しません。
「装置はPHPで動いているか」に、まだ公式の答えはない
装置の側からは、影響があるという一次資料も、ないという一次資料も出ていません。
SEMI E187は、WindowsまたはLinuxを載せた装置の計算機を対象にした規格です。その上でPHPが動いているかどうかは、規格の対象範囲からは決まりません。装置ごとの構成の問題です。
では、メーカー側は何と言っているか。10月23日の午前（日本時間）に、産業機器・ネットワーク機器ベンダー各社のセキュリティ情報ページを確認した結果が次の表です。
| 区分 | ベンダー・CERT | 取得時点の状況 |
|---|---|---|
| 影響なしと公式回答 | Moxa（MPSA-260001） | "Moxa has determined that none of our products are affected."（自社製品についての同社判断） |
| 言及なし | Siemens ProductCERT、Rockwell、Yokogawa、Hitachi HIRT、CERT@VDE、Fortinet PSIRT | 2件のCVE番号・PHP2Shellの記載なし。Siemensの配信フィードは最終更新が10月19日で、公開前のまま |
| 確認できず | 三菱電機、Omron、Schneider、Keyence、QNAP | ページの取得や表示ができず、判断できなかった |
半導体製造装置メーカーと、MES・EAPの提供元については、影響の有無を示す一次資料を見つけられませんでした。Moxaの回答は一社の自社製品に限った判断で、産業機器全般に広げられる話ではない。言及なしの各社も「影響なし」と書いたわけではなく、沈黙を「影響なし」と読むのが今回一番避けたい読み方です。
公的機関の文面も同じ方向を指しています。JPCERT/CCの注意喚起には「PHPを使用する製品やLinuxディストリビューションが提供するPHPも、本脆弱性の影響を受ける可能性があります。」とある。IPAは製品の影響について「その製品等の開発者やサービス提供元からの情報をご確認ください。」と案内しました。装置の構成を一番よく知っているのは装置メーカーで、答えはメーカーからしか出てきません。
影響が公表されたのは、ブラウザで開く画面とサービスだった
これまでに影響を公表した製品に共通するのは、装置の制御ではなく、ウェブ経由で使う画面やサービスです。管理ページもあれば、NAS上のウェブアプリも、クラウドのサービスもあります。
SynologyはSynology-SA-26:14で深刻度をCriticalとしました。対象はDSM上のパッケージで、PHP 7.3から8.4に加え、Mail StationとSynology Calendarというアプリも入っています。サポートが終わったPHP 7.3のパッケージには修正が出ません。OSに内蔵されたPHPは外部の攻撃面に出ておらず、悪用のリスクは非常に低いというのが同社の判断です。
国内では、ソリトンシステムズがJVN（JVNVU#99905564）に「該当製品あり」と登録しました。10月23日の取得時点で、このJVNページにベンダーとして載っていたのは同社1社です。FileZen、NetAttest D3Manager、Smart eGate、Soliton SecureGatewayなど6製品には、次の注記が付いています。
「システム管理ページでPHPを使用しております。現在対策済みファームウェアを準備しております。システム管理ページへのアクセス制限強化をご検討ください。」
株式会社ソリトンシステムズ サポート情報（2026年10月22日）
Soliton SecureFileは「システム管理ページとサービスの一部でPHPを利用しております。」とされ、遠隔操作向けのZao Cloud (teleoperation)は10月21日20時30分から予防的にサービスを止めたあと、22日から「順次サービス再開」としています。ここで見るべきは製品名より構図です。本体が何をする機器やサービスであっても、ウェブの画面や機能がPHPで動いていれば、それだけで対象に入る。
破られた画面の先にあるのは、パスワードと鍵です。発見に関わったWizは、PHPのプロセスのメモリにパスワードや認証トークン、APIキー、証明書が含まれ得ると解説しています。Sansecによれば、Califの報告ではWordPressやphpMyAdmin、Nextcloudなどの特定バージョンで、ログインなしのコード実行が示されました。社内Wikiやファイル共有にこうしたソフトを使っているなら、棚卸しの一行目です。
装置メーカーが入ってくる入口は「常に最新」が前提
経産省のガイドラインが公表されたのは2025年10月で、PHP2Shellより前です。それでも、遠隔保守の入口がどうあるべきかは文字になっています。
経済産業省「半導体デバイス工場におけるOTセキュリティガイドライン」Ver1.0は、2025年10月24日に公表されました。読み手として想定しているのは、半導体デバイスメーカーの製造部門の実務者です。装置メーカーによる遠隔診断（e-Diagnostics等）や設備メーカーの遠隔保守については、各OT領域へのリモートアクセスにIT領域と同様の対策が必要だとしました。その上で、装置ツールへの遠隔保守の入口をこう描きます。
「IT/OT DMZ エリア等に常に最新のセキュリティ対策が行われたJUMP サーバ環境を設け、遠隔操作内容の監視記録、ユーザーのなりすましを防ぐ認証強度の強化（多要素認証（MFA）等）、通信先と通信ポートを限定した接続環境を限定する等の対策を実施する」
経済産業省「半導体デバイス工場におけるOTセキュリティガイドライン」Ver1.0（PDF 45ページ）
ここにPHPの文字はありません。それでも、今週の点検の起点になります。JUMPサーバー、VPN装置、リモートアクセス用のゲートウェイ。そこに付いている管理画面が何で動いているかを、製品の告知と照らし合わせる。「常に最新」という条件は、こういう週のためにあります。
同じ箇所は、回線の洗い出しを有線に限っていません。「モバイルルーター等が使う携帯電話通信網やWiFi 無線接続網、衛星通信網などの無線通信網も漏れなく対象として」とある。保守のために置かれたモバイルルーターの管理画面も、棚卸しの対象です。
すぐに直せないシステムを、ガイドラインとIPAはどう扱うか
ガイドラインはパッチの適用に時間がかかることを前提にし、IPAは暫定対策が難しければアクセス遮断やサービスの一時停止まで判断するよう促す。二つを重ねると、仮想パッチの位置付けがはっきりします。
MES・SPC・EDAが載るファブシステムエリアでも、脆弱性評価とパッチ適用管理はIT領域と同様に行う。ただし運用は、連続稼働とシステム連携の確認が前提です。その結果、パッチの適用にはタイムラグが発生し、括弧書きには「ライン停止のメンテナンスタイミングが数か月や1 年単位となる」とあります。その間の手当てとして挙がっているのが、IT/OT DMZでの分離と通信制限、IPS/IDSによる異常検知、仮想パッチです。
ここにPHP公式の一文を重ねます。
"There are no complete mitigations, updating is the only safe choice."
PHP Group, 各リリースの告知（2026年10月21日）
仮想パッチは次のライン停止まで持たせる橋であって、修理ではありません。橋を架けたら、渡り切る日付をカレンダーに書く。そこまでで一組です。
IPAの対策情報は、更新や移行が完了するまで「脆弱な状態での運用を放置せず」、暫定対策やアクセス制限を検討するよう促します。それが難しければ、外部からのアクセス遮断やサービスの一時停止の要否を判断する。長く更新していないシステムは、開発時の資料・ノウハウの不足や担当者の不在、保守契約の終了で対策が難しくなっている場合があり、IPAは事業責任者や経営層も含めた検討を挙げました。体制の見通しが立たなければ、移行や機能の縮小、公開の終了、システムの廃止まで選択肢に入ります。読み替えれば、止める判断を現場の担当者だけに背負わせるな、ということです。
装置ツールのように、パッチそのものを当てられない機器の扱い（マイクロセグメンテーションによるゾーン分割）は、SEMI E187とパッチを当てられない既存装置の記事で整理しました。今回の論点はその手前、ウェブの画面と保守の入口です。
問うべきは装置の安全ではなく、回答の窓口と期限
答えを出すのは誰で、期限はいつか。装置について確かめるべきは、安全かどうかの印象ではありません。誰が、いつまでに、書面で答えるかです。
ガイドラインには、その質問の置き場所が用意されています。SEMI E187及び188が推奨する基本要件を参考にすれば、脆弱性管理の要件を装置メーカーとのフィールドサポート保守契約書に含められる。保守契約の中では、SBOM情報の提供、脆弱性の評価、セキュリティパッチが提供される対象範囲を確認するのが望ましいとされています。脆弱性情報の入手先にも、JVN等の公表情報と並んで「装置メーカーから提供される脆弱性情報による把握」が挙がっている。
TSMCは2023年にSEMI E187を調達契約の要件の一つに加え、新規装置の導入前に4つの領域で適合を確かめる仕組みを設けました。対象は新規装置の導入で、今回の脆弱性への対応を求めた話とは別物です。それでも、装置のセキュリティを装置メーカーに確かめる型は、業界の側に既にあります。PHP2Shellは、その型が保守契約の中で本当に動くかを確かめる機会です。
立場別、今週やること
どの立場でも、最初の一手は「自分の側のウェブの画面を洗い出すこと」で、装置の答えはその間にメーカーから取り付けます。
ファブ（デバイスメーカー）の設備・情報システム担当
- インターネットから開ける画面を書き出す：ファイル共有やNAS、リモートアクセス機器、セキュリティ製品の管理画面、取引先向けのポータル。製品ごとに提供元の告知とJVNを照らし合わせます。Linuxで動かしているサーバーは、ディストリビューションの更新パッケージを確認する。PHP公式によれば、配布元には修正が事前に渡されています。
- 侵害の確認は10月17日から：Tenableの解説によれば、Amazon Threat Intelligenceは公開4日前の10月17日に悪用の試みを観測しました。調査は公開日ではなく、少なくともその日から始めるよう勧めています。JPCERT/CCの確認点は三つ。不自然に長いか異常な形式のPHPSESSID Cookie。不審なmultipart/form-data形式の要求と、その前後のメモリ上限エラーやHTTP 500。PHPワーカープロセスの異常終了や頻繁な再起動です。痕跡が見つからなくても、攻撃を受けていないとは断定できません。
- 保守の入口を一覧にする：JUMPサーバー、VPN、保守用のモバイルルーター。その管理画面がインターネットから直接見えていないかを確かめる。
- 装置メーカーに問い合わせを出す：装置のPC、付属ソフト、遠隔診断の仕組みにPHPが含まれるか。含まれるならバージョンと修正の予定はどうか。回答期限を付けて、保守契約の窓口宛てに送ります。
- MES・SPC・EDAの更新が次のライン停止を待つなら：それまでの通信制限・検知・仮想パッチの手当てと、更新の予定日を一緒に記録しておく。
装置メーカー
- 聞かれる前に、機種別の回答を用意する：装置PCと付属ソフト、遠隔診断の基盤にPHPが入っているか、入っているならどのバージョンか。PSIRTや保守窓口から出せる形にしておきます。ガイドラインが保守契約で確認すべきとしたSBOMとパッチの対象範囲が、そのまま顧客の質問の型になる。
- 自社側の保守基盤を点検する：遠隔診断のサーバー、顧客向けのサポートポータル、ドキュメントのダウンロードサイト。顧客の工場につながる経路の手前にある自社の画面は、点検の最上位に置く価値があります。
素材・部品サプライヤー
- 自社のウェブを先に片付ける：受発注、品質書類のやり取り、問い合わせフォーム。WordPressのようにPHPで動く仕組みがあれば、サーバーのPHPのバージョンを確認します。共用のレンタルサーバーならホスティング会社の告知を、自社で管理するサーバーなら配布元の更新を見る。
- 8.1以前と8.2には期限を決める：8.1以前はPHPプロジェクトの更新が止まっています。8.2も2026年12月31日にサポートが終わり、その後のセキュリティ修正はありません。今回の対応を、移行計画を前倒しする理由に使えます。
- 顧客に聞かれたときの一枚を作る：どのサーバーを、いつ、どのバージョンに上げ、侵害の確認をどこまでしたか。顧客の工場から状況を尋ねられたら、そのまま出せる形にしておきます。
root／sudo権限のあるVPS・専用サーバー・クラウド上のPHPで、さらに確認したいことがある場合や自社での対応が難しい場合の相談先もあります。株式会社MenuMenuが提供する「PHP2Shell 緊急点検」（https://php2shell.jp/・hi@php2shell.jp）です。装置やOTネットワークの点検は、このサービスの対象外です。
参考資料
- PHP Group, Security advisory: Critical remote code execution vulnerabilities, update now（2026年10月21日）
- PHP Group, セキュリティリリースの事前告知（2026年10月20日）
- PHP Group, 各リリースの告知（2026年10月21日）
- PHP Group, PHP 8.2 リリース告知（8.2のサポート終了日）
- IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）
- JPCERT/CC 注意喚起 JPCERT-AT-2026-0033
- JVN「JVNVU#99905564」
- Synology-SA-26:14 PHP2Shell
- 株式会社ソリトンシステムズ サポート情報（2026年10月22日）
- Moxa Security Advisory MPSA-260001
- CISA Known Exploited Vulnerabilities Catalog（JSONフィード、2026年10月23日取得）
- Tenable, PHP2Shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions
- Wiz, PHP2Shell 解説ブログ
- Sansec, PHP2Shell 解説
- 経済産業省「半導体デバイス工場におけるOTセキュリティガイドライン」Ver1.0（PDF）
- 経済産業省 報道発表（2025年10月24日）
- SEMI E187: Specification for Cybersecurity of Fab Equipment（SEMI Store 要旨）
- TSMC ESG（2023年9月14日）SEMI E187の調達契約要件化
- SEMI E187、台湾で認証マーク公開｜パッチを当てられない既存装置はどう扱うか（techandchips）
