PHPのセキュリティチームは、2件の重大な脆弱性に対処する次期リリースを予告しました。2件の深刻度はいずれもCVSS v4.0で9.2と評価されています。
Cybersecuritynews platform
この警告は2026年10月20日に公開されたもので、管理者に対して直ちにアップグレードできるよう準備を促しています。また、watchTowrはリモートコード実行（RCE）の脆弱性の可能性がある2件を報告しています。ただし、PHP側は識別子や技術的な詳細をまだ確認していません。
正式なリリースは、2026年10月21日（水）の14:00 UTC（インド標準時の19:30）に予定されています。PHPのメンテナーによると、脆弱性の詳細が公になった場合や、実際に悪用されている証拠が出てきた場合は、パッチをより早く公開する可能性があります。
セキュリティアップデートでは、影響を受けるバージョン、修正版のリリース、脆弱性の詳細がすべて明らかになる予定です。
重大なPHPのRCE脆弱性2件
WatchTowrは、報告された脆弱性をCVE-2026-109618とCVE-2026-109619だと特定しています。同社のFAQによると、これらのRCE脆弱性により、攻撃者は影響を受けるPHPサーバー上で任意のコードを実行できる可能性があります。
一方で同社は、これらの内容が未検証の報告に基づくものだと強調しています。そのため、暫定的な情報とベンダーが確認した正式な発表とは区別して扱う必要があります。
報告された影響範囲には、PHP 5以降のすべてのバージョンが含まれています。ただし、PHPのメンテナーはこの主張を確認していません。現時点では、影響を受けるコンポーネントや脆弱な関数、攻撃経路、認証要件、設定上の前提条件のいずれも公表されていません。
その結果、特定の導入形態やアプリケーション機能が、報告された脆弱性にシステムをさらすのかどうか、管理者は判断できません。
公式の告知では、2件の9.2というスコアを特定のCVEと対応づけてもいません。告知が指すPHPの脆弱性は2件ですが、これらのスコアをCVE-2026-109618とCVE-2026-109619に結びつけて断定するのは時期尚早です。
WatchTowrの脆弱性一覧には両方の識別子が載っていますが、スコアは付けられていません。予定されているリリースより前に入手できる情報が限られているためです。
発表の時期にも食い違いがあります。WatchTowrのFAQは、ソーシャルメディアで出回った情報に基づき、10月22日18:00 CESTに発表されるという噂に言及しています。
これに対し、PHPの公式告知が示しているのは、10月21日14:00 UTCです。セキュリティチームは、対応作業を調整する際にベンダーが公表したスケジュールに従うべきです。
watchTowrは10月21日時点で、実環境での悪用は確認されていないと報告しました。ただし、これは悪用が不可能であることを裏づけるものではありません。
PHPは、攻撃が現れた場合にパッチの公開を前倒しする可能性があると警告しています。この点からも、チームは告知された日程が固定だと決めつけず、公式の更新情報を継続的に確認する必要があります。
組織は、本番環境のPHPインストールを洗い出し、担当するアプリケーションの責任者を特定し、パッチが公開される前に更新手順を整えておくべきです。
WatchTowrは、PHPの公式セキュリティチャンネルを監視し、確認された修正版を速やかに適用するよう推奨しています。現時点では、公に確認された回避策も、影響を受けるバージョンの一覧も、技術的なトリガーの情報もありません。そのため、これらの脆弱性への対策として、推測に基づく設定変更に頼るのは避けるべきです。
Cybersecuritynews platform
MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止します。ANYRUNのSandboxをSOCに導入しましょう。
翻訳元: https://gbhackers.com/two-critical-php-rce-vulnerabilities/
