PHPのセキュリティチームは、いずれもCVSS v4.0で9.2と評価された2件の重大な脆弱性に対処する緊急セキュリティリリースを発表しました。
リリースは2026年10月21日14:00（UTC）に予定されています。これは、攻撃者が影響を受けるサーバー上で悪意あるコードを実行できる可能性のあるリモートコード実行の欠陥が報告されたことを受けたものです。
PHPは10月20日付の告知で、パッチが公開され次第、直ちにアップグレードできるよう準備することをすべてのユーザーに呼びかけました。脆弱性の詳細が公になった場合や、悪用の実態が確認された場合には、修正版を前倒しでリリースする可能性があるとしています。
セキュリティ企業のwatchTowrは、報告された脆弱性をCVE-2026-109618およびCVE-2026-109619と特定しています。同社は両者をリモートコード実行につながる可能性のある問題と説明していますが、これらの詳細は未検証の報告に基づくものだと明記しています。
PHP 5以降のすべてのバージョンが影響を受けるという主張について、PHPのセキュリティチームは確認していません。この違いは、リスクを評価する防御側にとって重要です。
PHPの公式発表は、2件の重大な脆弱性とその深刻度スコアを認めています。一方で、脆弱なコンポーネント、悪用の前提条件、認証の要否、影響を受ける導入構成については明らかにしていません。
そのため管理者は、PHPを使っているというだけでは、個々の環境が悪用可能かどうかをまだ判断できません。報告されているRCEの影響が確認された場合、攻撃者は脆弱なサーバー上で任意のコードを実行できるおそれがあります。
PHPは、動的なWebサイトやコンテンツ管理システム、社内アプリケーションを支えており、顧客情報や業務ロジックを処理している場合があります。
とはいえ、どちらの情報源も脆弱なWebサイトの数には触れておらず、数百万のサイトが影響を受けるという推計は時期尚早です。
PHPの告知では、セキュリティリリースを10月21日14:00（UTC）に予定しており、これが対応を準備する組織にとって信頼できる公式のスケジュールです。watchTowrによると、10月21日時点で、実環境での悪用は報告されていません。
ただし、この状況を、悪用が不可能であることや、すべての環境が安全であることの証拠と受け取るべきではありません。PHPが公開時期を早める可能性に言及している点からも、公式の更新情報を注意深く監視する必要性がうかがえます。
予定されているリリースの前に、セキュリティチームは本番環境のPHPのインストール状況を棚卸しし、担当するアプリケーションの責任者を特定して、更新手順を準備しておくべきです。
watchTowrは、PHPの公式チャネルを監視し、ベンダーの修正版が公開され次第、速やかに適用するよう推奨しています。watchTowrのFAQでは、確認済みの回避策も修正バージョンも示されていません。
アドバイザリが公開されるまでの間、組織はベンダーが確認した情報と、予備的な脆弱性報告とを区別する必要があります。パッチ適用の判断は、確認された影響バージョンと対処ガイダンスに基づいて行うべきです。世界中のPHP環境が一律に影響を受けるという根拠のない思い込みに従うべきではありません。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/critical-php-rce-vulnerabilities/
