ファイアウォールとは何か｜役割・種類と、セキュリティ機器自体が攻撃対象になる理由

2026年11月1日 08:45

2026年10月、PHPの重大な脆弱性（通称PHP2Shell）が、ファイアウォール製品の管理画面に対する攻撃に使われたことが公表されました。ファイアウォールは、外部からの不正な通信を防ぐための機器です。防御を担う機器が、なぜ攻撃の入口になるのかは、ファイアウォールの仕組みを知らないと理解しにくい点です。

この記事では、前半でファイアウォールの仕組みを一般的な原理から整理し、後半でセキュリティ機器自体が攻撃対象になる理由を説明します。本文の［1］のような番号は、押すと出典のページが開きます。

前半（仕組み）：何を見て通信を通すか止めるかを決めているのか、どのような種類があり、どこに置くのか（VPSを借りている場合を含む）
後半（攻撃対象になる理由）：機器の内部の構造、攻撃対象になる理由、管理画面を公開する危険、PHP2Shellの事例、一般に勧められている対策

ファイアウォールの役割

ファイアウォールは、社内などの内側のネットワークとインターネットの境界に置き、あらかじめ決めた規則に従って、通信を通すか止めるかを判断する仕組みです。英語の firewall は、火事の延焼を防ぐ「防火壁」を意味します。

外部からの不正な通信を止めるだけでなく、内側から外部への通信を制限することもできます。たとえば、業務に必要のない種類の通信を外部へ出さない設定にできます。

ファイアウォールは、専用の機器として置かれるほか、パソコンのOSや家庭用・小規模オフィス用のルーターにも機能として組み込まれています。この記事では、主に企業や組織の境界に置く専用の機器を例に説明します。

ファイアウォールの位置。内側のネットワークとインターネットの境界に置き、出入りするすべての通信を規則に照らして判断する。

通信を識別する材料と規則

インターネットの通信は、パケットと呼ばれる小さな単位に分けて送られます。パケットには、手紙の宛名のように、送信元と宛先の情報が付いています。

IPアドレス：ネットワーク上の機器の住所に当たる番号です。送信元と宛先の両方が書かれます。
ポート番号：１台の機器の中で、どのサービス宛ての通信かを示す番号です。Webサイトの閲覧に使うHTTPSは443番、サーバーの遠隔操作に使うSSHは22番が一般的です。
プロトコル：TCPやUDPなど、通信の取り決めの種類です。

パケットに付いている宛名の情報。送信元と宛先のIPアドレス、宛先のポート番号、プロトコルを見て、どこからどこへの、何の通信かを識別する。

ファイアウォールの規則は、「どこから」「どこへ」「どの種類の通信を」「許可するか拒否するか」を１行ずつ並べた表です。届いたパケットを表の上から順に照合し、最初に一致した行に従います。

どの行にも一致しない通信は、すべて拒否するのが原則です。これを既定で拒否（デフォルト拒否）と呼びます。必要な通信だけを明示して許可し、それ以外は通さないという考え方です。

規則の表の例。３つの通信を上から順に照合すると、Webサーバーへの閲覧と社内からの閲覧は許可され、外部から社内のパソコンへの接続はどの許可にも一致せず拒否される。

ファイアウォールの種類

ファイアウォールは、通信のどこまでを見て判断するかによって、いくつかの種類に分かれます。後に挙げるものほど、多くの情報を使って判断します。

パケットフィルタリング型：パケットの宛名（IPアドレス・ポート番号・プロトコル）だけを見て、規則と照合します。処理が軽い一方、通信の前後関係は考慮しません。
ステートフルインスペクション型：内側から始めた通信を記録し、外部から届いたパケットがその返信かどうかを照合します。記録にない通信が外部から突然届いた場合は拒否します。
アプリケーションゲートウェイ型（プロキシ型）：内側と外部の間に入って通信を代わりに中継し、通信の中身まで確認します。
次世代ファイアウォール（NGFW）・UTM：通信がどのアプリケーションのものかの識別や、不正な通信の検知などの機能を１台にまとめたものです。UTMは統合脅威管理（Unified Threat Management）の略で、中小規模の組織向けの製品が多くあります。

ファイアウォールの種類と、判断に使う情報の範囲。宛名だけを見るものから、通信の状態、中身、アプリケーションまで見るものへと広がる。

現在の多くの製品は、ステートフルインスペクションを基本とし、そのうえに次世代ファイアウォールの機能を重ねています。基本となるステートフルインスペクションの考え方は、次の図のとおりです。

ステートフルインスペクションの考え方。内側から始めた通信を記録し、その返信は通す。記録にない通信が外部から届いた場合は拒否する。

名前が似たものに、WAF（Webアプリケーションファイアウォール）があります。WAFは、Webサイトへの通信の中身を調べ、Webアプリケーションの脆弱性を突く攻撃を防ぐための仕組みです。ネットワークの境界を守るファイアウォールとは、守る対象と見る情報が異なります。

置き場所とネットワークの区分

外部に公開するWebサーバーやメールサーバーは、社内のパソコンと同じネットワークには置かず、DMZ（非武装地帯）と呼ばれる別の区画に置くのが一般的です。ファイアウォールは、この３つの区画の間の通信をそれぞれ規則で制御します。

インターネットからDMZへ：公開するサービス（Webサイトの閲覧など）だけを許可する
インターネットから内側へ：原則として拒否する
DMZから内側へ：必要な通信だけに限る

この区分により、公開しているサーバーが攻撃を受けても、被害が社内のネットワークまで直接広がりにくくなります。

外出先や自宅から社内のネットワークに接続するVPN（仮想専用線）の入口も、多くの場合、境界のファイアウォールが担っています。つまりファイアウォールは、通信を止める機器であると同時に、外部と内側をつなぐ通り道を管理する機器でもあります。この点が、後半で説明する「攻撃対象になる理由」につながります。

内側のネットワーク・DMZ・インターネットの３つの区画。インターネットからはDMZの公開サービスだけに届き、内側へは原則として届かない。

VPSを借りている場合

自社で機器を置かず、VPS（仮想専用サーバー）を借りてWebサイトやシステムを動かす場合も、考え方は同じです。VPSは、事業者の大きなサーバーを仮想的に分け、１台分のサーバーとして貸し出すサービスです。この場合、ファイアウォールは主に次の２か所で設定します。

事業者が提供するファイアウォール：多くのVPSでは、事業者の管理画面から、外部から受け付けるポート番号を選べます。サーバーの外側で通信を絞り込む仕組みです。
サーバーのOSのファイアウォール：Linuxなどに備わる機能で、サーバー自身が通信を判断します。たとえばUbuntuには、通信を判断するOSの中核（カーネル）の機能に規則を渡すための、標準の設定ツールUFWがあります。UFWは初期状態では無効になっています［5］。

どちらの場合も、Webサイトの閲覧に使う443番は広く許可し、遠隔操作に使うSSHの22番は特定のIPアドレスからだけに限るのが基本です。SSHでの接続と、事業者が提供するVPSの管理画面は、どちらも後半で説明するファイアウォールの管理画面と同じく、サーバーの設定を変更できる入口に当たります。

VPSの場合のファイアウォール。事業者のファイアウォールとサーバーのOSのファイアウォールの２か所で通信を絞る。Webの閲覧は広く許可し、SSHは特定のIPアドレスからだけに限る。

ファイアウォールも１台のコンピュータ

ファイアウォールの機器は、専用のOSを動かす１台のコンピュータです。中では、通信を処理する部分と、管理者が設定を変更するための部分が動いています。

通信を処理する部分：通過するパケットを規則と照合し、通すか止めるかを判断します。
管理の部分：管理者が規則や設定を変更するための管理画面です。多くの製品では、管理画面はWebブラウザで開くWebページとして作られています。

管理画面を動かすために、機器の内部ではWebサーバーやプログラミング言語の処理系など、一般的なソフトウェアが使われていることがあります。そのため、組み込まれたソフトウェアに脆弱性が見つかると、それはそのまま機器の脆弱性になります。

ファイアウォールの機器の内部。通信を処理する部分と管理画面が、専用のOSの上で動いている。管理画面の内部では、一般的なソフトウェアが使われていることがある。

なぜセキュリティ機器自体が攻撃対象になるのか

ファイアウォールなどの境界の機器が攻撃対象になる理由は、主に次の４つです。

インターネットに直接面している：境界に置く機器は、外部からの通信を最初に受け付けます。内側のパソコンと異なり、外部から直接届く位置にあります。
内側への通り道を管理している：前の節で見たとおり、境界の機器は規則とVPNの入口を管理しています。機器を乗っ取ると、規則の変更やVPNの利用によって、内側のネットワークに入り込む足掛かりになります。
重要な情報が集まっている：規則の設定、管理者の認証情報、通信の記録が機器に保存されています。
異常に気付きにくい：パソコンのように監視のソフトウェアを導入しにくく、内部で何が起きているかを確認しにくい機器です。

境界の機器が攻撃の入口になることは、公的機関も繰り返し指摘しています。米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の当時の長官は2023年、攻撃者がネットワーク機器を利用して、組織のネットワークに制限なくアクセスできてしまうことがあまりにも多いと述べています［3］。

国内でも、警察庁の2026年上半期の統計では、ランサムウェアの被害を受けた組織へのアンケートで、侵入経路はVPN機器が約５割を占めています［4］。

境界の機器が乗っ取られた場合の影響。外部から届く位置にあり、内側への通り道を管理しているため、内側のネットワークへの足掛かりになる。

管理画面をインターネットに公開する危険

管理画面は、ファイアウォールの規則そのものを変更できる入口です。管理画面をインターネットに公開すると、世界中の誰でも、その入口に接続を試みることができます。

管理者のパスワードが十分に強くても、安全とは言い切れません。ログインの前に動く処理に脆弱性があると、パスワードを知らなくても侵入される場合があるためです。

このため、管理画面はインターネットに公開せず、内側の特定の端末や、信頼できる特定のIPアドレスからだけ接続できるようにするのが原則です。CISAは2023年、米国の連邦政府の民間機関に対して、特定のネットワーク機器の管理画面をインターネットから外すか、接続を厳しく制御する仕組みを導入するよう求めました［3］。

管理画面をインターネットに公開した場合と、内側の特定の端末からだけ接続できる場合の比較。公開すると、外部の誰でも管理画面に接続を試みることができる。

事例：PHP2Shellとファイアウォール製品

ここまでの内容が実際に起きたのが、PHP2Shellの事例です。JPCERT/CCは2026年10月29日、PHP2Shellの注意喚起を更新し、あるファイアウォール製品の特定のバージョンで、侵害の成功を示唆する痕跡が報告されたと追記しました［1］。侵害した機器を足掛かりに、内部のネットワークへ広げようとした痕跡も確認されたとしています［1］。

ファイアウォールのメーカーであるPalo Alto Networksの調査部門Unit 42も、10月29日（米国時間）、同社のファイアウォールのOSであるPAN-OSの管理画面のうち、インターネットに公開されているものに対して、PHP2Shellが悪用されていると公表しました［2］。攻撃者がPHP2ShellとLinuxカーネルの権限昇格の脆弱性を組み合わせ、機器の最上位の権限（root）を得たとする調査会社の報告について、Unit 42は同じ攻撃ツールを独自に確認したとしています［2］。機器に組み込まれたソフトウェアの脆弱性が、管理画面を通じて悪用された例です。

Unit 42によると、PAN-OSの管理画面は初期設定ではインターネットに公開されていません［2］。影響を受けたのは、管理画面をインターネットに公開する設定にしていた、導入先全体の約0.02%です［2］。修正を適用した利用者は影響を受けないとしています［2］。

Unit 42が利用者に求めている対策も、前の節の原則と同じで、管理画面への接続を信頼できる内部のIPアドレスに限ることです［2］。PHP2Shellの経過は、記事「PHPの重大な脆弱性のその後を、公開情報から整理する」にまとめています。

一般に勧められている対策

ファイアウォールなどの境界の機器について、一般に勧められている対策は次のとおりです。

管理画面をインターネットに公開しない：前の２節で見たとおり、最も基本となる対策です。
修正版を速やかに適用する：メーカーが公開する修正版やセキュリティ情報を確認し、適用します。
使わない機能を止める：使っていないVPNや遠隔管理の機能は、無効にします。
多要素認証を使う：管理者のログインやVPNの接続に、パスワード以外の要素を組み合わせます。
記録を確認する：管理画面へのログインや設定の変更の記録を、定期的に確認します。
サポートが終了した機器を使い続けない：修正版が提供されなくなった機器は、更新を計画します。

小規模な事業所でも、同じ考え方で確認できる点があります。ルーターの「外部からの管理」「リモート管理」の設定が有効になっていないか、管理者のパスワードが初期設定のままになっていないかは、確認しておきたい点です。

境界の機器について、一般に勧められている対策。管理画面を公開しない、修正版を適用する、使わない機能を止める、多要素認証、記録の確認、サポートが終了した機器の更新。

調べて分かったこと

ファイアウォールは、境界で通信を判断する仕組みであると同時に、管理画面を持つ１台のコンピュータでもあります。防御を担う位置にあること自体が、攻撃者にとっての価値になります。

機器を導入して終わりにせず、管理画面を公開しない設定と、修正版の適用を続けることが、境界を守るうえでの前提になります。

免責事項

この記事は、筆者が個人として、ファイアウォールの一般的な仕組みと、公的機関・製品メーカーの発表を調べ、2026年10月31日時点の内容をまとめたものです。特定の製品の機能や設定を説明するものではなく、情報セキュリティの専門家による助言でもありません。

機器の機能や設定の方法は、製品やバージョンによって異なります。実際の設定は、各製品の公式の資料で確認し、本番の環境に適用する前に検証してください。この記事の内容を利用して生じた損害については、責任を負いかねます。

NDシステムズについて

NDシステムズは、福岡県久留米市を拠点に、ホームページの制作、業務に合わせた事務のシステムの開発、AI・DX支援を行っています。まずはお気軽に無料相談でご相談ください。