何が起きたのか
2026年10月21日、PHPはCVE-2026-109618とCVE-2026-109619の修正を公開しました。この2つは合わせてPHP2Shellと呼ばれます。攻撃者がログインせず、影響を受けるウェブサーバー上でコードを実行できる可能性がある脆弱性です。対象の環境と更新内容はPHPの公式勧告に記載されています。米国家安全保障局（NSA）は運営者に迅速な修正を勧告し、安全を確保できない場合は該当システムの停止も検討するよう求めました。予防的な停止だけで侵害があったとは判断できません。運営者はこの記事を修正のチェックリストにするのではなく、その後の勧告も含め、ベンダーの最新情報を確認してください。
あなたのデータへの影響
直接のリスクがあるのは、脆弱なPHP環境を使うサービスと、そのサービスがアクセスできる情報です。オンラインストレージがすべて危険だとか、あなたのファイルが漏えいしたという証拠ではありません。利用者が提供者のサーバーを修正することはできませんが、アップロードする情報を絞り、自分のソフトウェアを更新し、提供者の公式なセキュリティ情報を確認することはできます。アカウントが影響を受けた場合は、真正性を確認した案内に従ってください。思いがけず届いたメッセージ内のパスワード再設定リンクは使わず、サービスに直接アクセスしましょう。失いたくないファイルは別途バックアップしてください。
暗号化が役立つ範囲と限界
アップロード前に端末でファイルを暗号化し、鍵をサーバーの外に保管すれば、保存されたコピーが盗まれても内容を守りやすくなります。ただし、サーバー侵害のあらゆる被害を防げるわけではありません。攻撃者はメタデータを見たり、ファイルを削除したり、ウェブアプリがブラウザに送るコードを改変したりする可能性があります。そのコードが利用時に鍵を盗むリスクは、Protonのセキュリティモデルでも説明されています。強固な暗号化にも、安全な端末と信頼できるソフトウェアが必要です。端末内だけに保存したファイルは、アップロードしたことのないサービスへの侵入によって漏えいすることはありません。
端末内に残すものを選ぶ
ソフトウェアの脆弱性をすべて防ぐことはできませんが、個人のファイルの保存場所は選べます。Sealbyは端末上で保管庫の内容を暗号化します。アップロードしたくない場合は、保管庫を端末内のみで使ってください。暗号化されたiCloud同期は任意で、設定から保管庫ごとに有効にします。同期を有効にしたり、暗号化バックアップを作成したりすると、端末外にもコピーが存在する場合があります。その保護には、ロック解除情報と復元フレーズの安全な管理が欠かせません。端末を操作できる人に対して、すでにロック解除された保管庫を暗号化が守ることはできません。また、他のアプリやクラウドサービスに残した元のファイルが削除されることもありません。