PHPの重大な脆弱性2件、パッチ公開前に情報が流出

多くのウェブサイトを支えるサーバーに影響を及ぼしかねない2件の脆弱性が、修正パッチの公開予定より前に明らかになりました。これを受け、主要なサイバーセキュリティ機関が、利用者に対策の準備を急ぐよう呼びかけています。

問題の脆弱性は「CVE-2026-109618」と「CVE-2026-109619」で、あわせて「PHP2Shell」と呼ばれています。当初は10月21日午後2時（GMT）に公表される予定でした。

ところが10月20日、「petecooper」を名乗るユーザーがHacker Newsのフォーラムに投稿し、両脆弱性のCVE識別子を明かしました。識別子はパッチが提供されるまで非公開にしておくはずのものでした。

この投稿はすでに削除されていますが、最高深刻度（CVSS評価10.0）のPHPリモートコード実行（RCE）の脆弱性2件が10月22日に公開されると主張していました。

投稿はさらに、2件の脆弱性はいずれもPHP 5まで遡るバージョンに影響し、悪用されるとリモートコード実行（RCE）やサーバーの乗っ取りにつながる可能性があるとも述べていました。

W3Techsの最新データによると、サーバーサイドのプログラミング言語が判明しているウェブサイトのうち、約69.7%がPHPを使用しています。

その中にはWordPress、Drupal、Joomla、Magentoといった多くのコンテンツ管理システム（CMS）のほか、ECやウェブサービスのプラットフォームも含まれます。

petecooperの投稿を受けて、WatchTowrは、CVE-2026-109618とCVE-2026-109619が後日公表される予定だったことを確認しました。

この公表は、PHPセキュリティチームによる両脆弱性のパッチ公開と同時に行われる予定でした。

重大な脆弱性や影響を受けるバージョンの範囲といった特徴が、パッチの提供前に漏れると、攻撃者にリバースエンジニアリングなどの手法で悪用されるおそれがあります。

CERT-EU、PHP利用者にパッチ適用の準備を要請

PHPセキュリティチームは10月21日に公開したセキュリティ告知で、パッチを準備中であることを認めました。パッチの公開は、Hacker Newsのフォーラムのユーザーが主張した10月22日ではなく、10月21日午後2時（GMT）の予定でした。

同チームは「いずれかの脆弱性の詳細が公になった場合や、実環境での悪用の証拠が確認された場合には、予定を早めて公開する権利を留保します」と付け加えています。

またPHPチームは、情報を流出させた人物が示した最高深刻度ではなく、重大（Critical）レベルとなるCVSS 9.2を割り当てました。

EUのコンピューター緊急対応チーム（CERT-EU）や英国の国家サイバーセキュリティセンター（NCSC）など、複数のサイバーセキュリティ機関も緊急の勧告を公表し、2件の脆弱性に対するパッチが近く公開されると警告しました。

CERT-EUは、影響を受ける資産に直ちにパッチを適用できるよう準備することを組織に勧めています。

CERT-EUは「直ちにパッチを適用できない場合は、修正が提供されるまで、インターネットに公開しているアプリケーションを公衆ネットワークから切り離すことを検討すべきです」とも述べています。

独立系セキュリティ研究者のKevin Beaumont氏は、PHPのプレリリース版ビルドから推測し、修正版は次のバージョンになる可能性が高いとMastodonで述べました。