Cloudflareは、PHPの2つの重大な脆弱性を狙う攻撃が出始めているとして警告を発しました。同社はWebアプリケーションファイアウォール(WAF)ルールを緊急で導入し、開発元による公式のセキュリティリリースを待っている状況です。
脆弱性アセスメントサービス
PHP Foundationは事前に告知を行い、2つの脆弱性にいずれもCVSS v4で9.2のスコアを割り当てました。影響を受ける環境は、早急にアップデートの準備を進める必要があります。
CloudflareのCTO(最高技術責任者)であるDane Knecht氏は、Cloudflareで保護されたPHPサイトには、既知の悪用ベクトルに対応する初期のWAF保護がすでに適用されていると述べました。
このルールは、同社の無料サービスを利用する顧客を含め、すべての顧客が利用できます。Knecht氏は自身の公開プロフィールで、Cloudflareに所属するCTOであると明記しています。
Knecht氏は声明で、「初期段階の攻撃が出現しており、新たなベクトルが見つかるたびに緩和策を更新しています」と述べました。
流出したPHPの2つの脆弱性
Cloudflareの対応から、予定されているPHPのセキュリティリリースより前に悪用の試みが始まっていたことがうかがえます。ただし、声明では攻撃の規模や標的となった組織、侵害に成功した事例の有無、脆弱性の技術的な仕組みなどの詳細は明らかにされていません。
この点は重要です。攻撃の試みが観測されたことは、直ちに防御が必要であることを示しています。しかし、それだけで攻撃者がPHPサーバーへの侵入に成功したことが裏付けられるわけではありません。
Knecht氏はWAFによる保護を「応急措置」と位置づけ、PHP Foundationが更新版を公開しだい、管理者はシステムにパッチを適用するよう強く促しました。
この警告は、初期ルールの限界も強調しています。Cloudflareによると、ルールが対象とするのは既知の悪用ベクトルであり、新たなベクトルが特定されるたびに更新しています。そのため、管理者は初期ルールの導入だけで、あらゆる悪用手法が遮断されると考えるべきではありません。
PHP Foundationの告知によると、セキュリティリリースは2026年10月21日(水)14:00 UTC(インド標準時の19:30)に予定されています。
告知は2つの重大な脆弱性について注意を促しています。ただし、今回の抜粋にはCVE番号、影響を受けるバージョンの範囲、修正版のリリース番号、悪用の前提条件、脆弱性の分類は記載されていません。
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.
We are seeing early attacks emerging and are updating mitigations as new vectors show… https://t.co/wMz9tDTWwH
— Dane Knecht
(@dok2001) October 21, 2026
そのため、どちらかの脆弱性がリモートコード実行や認証回避などの特定の影響をもたらすと断定するのは、さらなる技術情報が開示されるまで時期尚早です。
見出しでは脆弱性が「流出した」とされていますが、抜粋からは、どのような情報が流出したのか、どこに公開されたのか、動作するエクスプロイトコードが公開されたのかどうかは読み取れません。
防御側にとって最も重要なのは、一時的なフィルターに頼らず、パッチを適用することです。Cloudflareの緊急ルールは、既知の攻撃ベクトルに対する暫定的な対応にすぎません。管理者は、近く公開されるPHPのアップデートを根本的な対策として適用するよう求められます。
詳細が公表されるまでは、警戒を強めて備えることが求められます。ただし、具体的な影響範囲については憶測を避ける必要があります。
平均対応時間(MTTR)を21分短縮し、影響が出る前にサイバー脅威を阻止します。ANY.RUNのサンドボックスをSOCに統合。
サイバーセキュリティニュースの購読
翻訳元: https://gbhackers.com/cloudflare-warns-of-active-exploitation-attempts/
