要点
- 早稲田大学は、PHP の欠陥への対応中に、8月31日の不正アクセスの痕跡を見つけたと発表した。
- MyWaseda のログインに使うユーザー情報から、延べ3,342件が取得されたことが確認された。パスワードは暗号化された形だった。
- 大学の発表は、欠陥の名前を挙げていない。「PHP2Shell」との関係は、発表からは分からない。
何が起きたか
早稲田大学は2026年11月9日、「不正アクセスによる個人情報漏えいについて」を発表した。
大学の説明では、きっかけは PHP の欠陥への対応だった。その作業で学内システムの状況を見直したところ、8月31日に行われた不正アクセスの痕跡が見つかった。調査の範囲を広げた結果、個人情報を管理するシステムに第三者が侵入し、情報の一部が取得されたことも分かったという。
取得が確認されたのは、ポータルサイト MyWaseda へのログインに使うユーザー情報だ。延べ3,342件で、内訳は次のとおり。
- 個別の情報81件。教職員（退職者を含む）、学生、卒業生などが含まれる。氏名と資格名だけが38件、これにメールアドレスが付いたものが23件、氏名と暗号化されたパスワードが20件。
- 職員などのユーザー情報3,261件。こちらは、教職員番号、氏名、Waseda メールアドレス、所属部署名、資格名、暗号化されたパスワードが1組になって取られた。
数えているのは延べの件数で、人数とは一致しない。同じ人が複数のメールアドレスを持っていることがあるからだ。
大学は、入試の志願者の情報とオープンカレッジの受講生の情報について、今のところ影響を確認していないとしている。上の2つの区分以外では、取得の事実は確認されていない。ただし可能性は否定できないとして、調査が続いている。
時期にも注意したい。痕跡は8月31日のもので、後述の PHP2Shell の修正版が出た10月21日より前になる。大学の発表には、欠陥の名前も CVE（欠陥につける共通の番号）も書かれていない。ただし、その本文は確認していない。発表は PHP2Shell に触れておらず、今回の侵入と結びつける根拠は示されていない。
日本の利用者への影響
影響を受けたのは日本の大学で、学内の教職員、学生、卒業生が対象になりうる。
大学は、被害を広げないための措置をいくつか取ったと説明している。関係するシステムの停止、学外との通信の制限、管理者のパスワード変更などだ。セキュリティの専門事業者とも連携して調べている。
利用者への案内は立場で分かれる。学生と教職員は、Waseda メールのパスワード変更などを大学から個別に案内されている。卒業生は、Waseda ID を使うサービス（Waseda メール、証明書の発行など）が一時的に止まっている。再開の時期は、大学が後日知らせるとしている。
大学は、大学や関係者を装った不審なメールや SMS が届くおそれがあるとして、注意を呼びかけている。
今すぐやること
- 早稲田大学の関係者は、大学の案内に従って Waseda メールのパスワードを変える。ほかのサービスで同じパスワードを使っていれば、そちらも変える。
- 大学を名乗るメールや SMS のリンク、添付ファイルは開かず、ID やパスワードも入力しない。
- 自分の組織の PHP がどの版か、どのシステムが PHP で動いているかを洗い出す。ホスティングやパッケージ製品の中に入っているものも含める。
- PHP の修正版が出ているものは更新する。更新できないものは、外部からの接続を減らす。
- 更新したら終わりにせず、修正前の期間のログも調べる。今回のように、欠陥の公表前に侵入されていた可能性があるためだ。
背景
PHP2Shell は、PHP 本体にある2件の重大な欠陥（CVE-2026-109618、CVE-2026-109619）につけられた通称だ。F5 Labs によると、2026年10月21日に修正版と情報が公開された。公開の前後から、数千件規模の攻撃の試みが観測されている。ただし F5 は、攻撃が成功した事例は報告していない。F5 の記事も、早稲田大学の件には触れていない。
今回の件で教訓になるのは、「修正版を入れた時点で安全」とは限らないことだ。大学は欠陥への対応をきっかけに調べ直し、2か月以上前の痕跡にたどり着いた。公開前から悪用されていた可能性を考え、過去のログを見直す必要がある。
技術者向けの詳細
- 大学の発表: 取得は延べ3,342件（81件＋3,261件）。侵入の痕跡は2026年8月31日。侵入経路は調査中で、発表には書かれていない。
- PHP2Shell: CVE-2026-109618、CVE-2026-109619。F5 Labs の報告では、どちらも use-after-free（解放済みメモリの再利用）で、CVSS 9.8。
- F5 Labs が挙げる修正版: PHP 8.5.12、8.4.27、8.3.36、8.2.35。
- F5 Labs は、公開約5時間前の10月21日 08:36（UTC）に最初のスキャンを観測している。
- 自分の環境の確認では、稼働中の PHP の版（
php -v、PHP-FPM や mod_php の実体を含む）をまず確かめる。 - ログは、8月以前までさかのぼって見る。Web サーバーのアクセスログ、PHP の異常終了の記録、見覚えのないファイルの作成を調べる。
- ユーザー情報のパスワードは暗号化の方式が発表されていない。強度は不明なので、関係者のパスワードは変更が望ましい。
- 詳しくは大学の発表と F5 Labs の記事を参照。
