Cloudflareは、2026年10月21日に予定されているセキュリティリリースを前に、PHPの2件の重大な脆弱性を狙う初期の攻撃を検知し、緊急のWebアプリケーションファイアウォール（WAF）ルールを展開しました。
PHP Foundationの事前通知によると、2件の脆弱性はいずれもCVSS v4のスコアが9.2です。Dane Knecht氏は、Cloudflareを経由しているPHPサイトには、既知の攻撃経路をカバーする初期の保護がすでに適用されていると述べています。
このルールは無料プランを含む全顧客に適用されます。ただし同氏は、これらの対策はあくまで一時的なものだと強調し、管理者にはPHPのアップデートが公開され次第、直ちに適用するよう促しました。
「初期の攻撃が出現しているのを確認しており、新たな攻撃経路が現れるたびに緩和策を更新しています」とKnecht氏は記しています。この警告は、防御側がリリースに備える中で、攻撃の試みが変化していることをうかがわせます。ただし、投稿では攻撃者や標的となった組織、攻撃の規模、侵害が成功したかどうかは明らかにされていません。
PHPのセキュリティチームは、アップデートのリリースを10月21日の14:00 UTC（インド標準時では午後7時30分）に予定していました。事前通知では、脆弱性の詳細が公開された場合や、悪用の証拠が確認された場合には、リリースを前倒しする可能性があるとも説明されていました。
確認できた声明からは、チームがこの前倒しの条件に基づいて動いたのかどうかは分かりません。また、CVE番号や影響を受けるPHPのブランチ、脆弱な関数、悪用の前提条件、修正バージョンの番号も発表されていません。
そのため、現時点の情報では、2件の脆弱性がリモートコード実行や情報漏えいなど、どのような影響をもたらすのかは特定できません。
Knecht氏は、Cloudflareの保護を明確に「STOPGAP（応急措置）」と位置づけました。既知の攻撃パターンをフィルタリングしても、PHPの根本的な脆弱性を修正したことにはならないと強調しています。
Cloudflareによると、新たな攻撃経路が見つかるたびに緩和策を見直しています。このため、現在の保護範囲は暫定的なものであり、あらゆる攻撃手法を防�げる保証はありません。
Knecht氏は続報で、有料プランの顧客に対し、WAFが無効になっていないか、新しいルールがログ記録のみのモードで設定されていないかを確認するよう呼びかけました。
管理者は、ルールが利用可能であるというだけで悪意のあるリクエストが遮断されていると思い込まず、適用設定を確認する必要があります。
PHP Foundationはまた、ボランティアが運営するRemiリポジトリの利用者に対し、当日中はこのリポジトリでアップデートが提供されないと警告しました。影響を受ける管理者には、ディストリビューションのパッケージへ切り替えるか、PHPをソースからビルドして、セキュリティ修正をすぐに適用するよう求めています。
この勧告は、同リポジトリに依存する組織にとって、運用上の注意点となります。リリース後にパッケージ提供の遅れに気づくのではなく、事前に代替の更新手段を準備しておく必要があります。
管理者は、影響を受けるバージョンや正確なアップグレード先について、PHPの公式リリース情報を確認してください。Cloudflareのルールは、パッチ適用までの間のリスク低減策にすぎません。環境がこれらの重大な脆弱性にさらされなくなったことを意味するものではない点に注意が必要です。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/cloudflare-detects-attack-php-flaws/
