PHPの2件の脆弱性に修正版
PHPで、認証されていない攻撃者がサーバー上でコードを実行できる2件の脆弱性が見つかり、修正版が10月21日に公開されました。深刻度はCVSSで9.2と評価されています。複数のサイバーセキュリティ機関は、修正できない場合、インターネットからの接続を一時的に遮断するよう勧告しています。
修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。PHP開発チームは、ウェブリクエストを処理するすべてのPHP環境が影響を受けるとして、速やかな更新を呼びかけています。
脆弱性の識別番号はCVE-2026-109618とCVE-2026-109619です。どちらもアプリケーションの通常の処理に入る前に攻撃が成立する可能性があり、PHP-FPMやApacheのmod_php、php-cgiなどが対象です。
メモリー処理と古い状態の再利用
CVE-2026-109618は、メモリー不足の処理に関係します。PHPがメモリー上限に達した際、リクエストの内部データが初期化の途中で処理を中断されると、後片付けで不正なデータを有効なものとして扱う場合があります。
その結果、攻撃者が制御できるデータが残ったメモリーが不適切に処理され、コード実行につながる可能性があります。脆弱性の説明では、フォーム形式のファイルアップロードを解析している途中にメモリー不足が起きるケースが挙げられています。
CVE-2026-109619では、リクエストに属する内部状態が、使用していたメモリーの解放後も残ることがあります。同じワーカーが後続のリクエストを処理すると、初期化前の状態を使う可能性があります。
ウェブサーバーや組み込み製品も対象
対象は特定のPHPの使い方に限らず、ウェブリクエストを処理するPHP環境全般です。PHP開発チームは、特にApacheのmod_phpでリスクが高く、アプリケーションのコードが動く前に攻撃を引き起こす実証例があると説明しています。
PHPはウェブサイトやウェブアプリの開発に使われるサーバー側のプログラミング言語です。Drupal、Joomla、Magento、WordPressなどもPHPを利用しており、直接PHPを公開していない製品でも、内部にPHPを組み込んでいれば影響を受ける可能性があります。
WordPressを使うサイトも対象です。WordPressは前年、「インターネットの40％超を支えている」と公表しました。PHPの脆弱性は、個別のウェブサイトにとどまらず、幅広いサービスの運用に関わります。
更新と一時的な対応
修正版への更新が、脆弱性を修正する方法です。PHP開発チームによると、Linuxディストリビューションや長期サポート版の提供元は修正を受け取っており、各提供元の更新パッケージも確認する必要があります。
PHP 8.1以前はPHP開発プロジェクトによる更新対象外ですが、一部のディストリビューションや長期サポート版の提供元は修正をバックポートしています。PHP開発チームは、ソースからビルドする利用者向けにPHP 7.4、8.0、8.1の最小限のバックポートも公開しました。
ただちに更新できない場合、CERT-EUはインターネットに接続するアプリケーションを外部ネットワークから隔離するか、一時停止するよう勧めています。英国の国家サイバーセキュリティセンター（NCSC）も、PHPを使うシステムを特定して優先的に更新し、更新や一時的な緩和策を適用できない場合は停止を検討するよう呼びかけています。
PHP開発チームは、更新まで攻撃経路を限定する一時的な対策として、設定変更やワーカーの再起動なども提示しています。ただし、これらの対策だけでは安全な状態にならず、修正版の適用が必要です。
