PHP、重大な脆弱性2件を警告　緊急パッチの公開が目前に

PHPの重大な脆弱性2件を受けて、緊急のパッチ適用警告が出されました。セキュリティ研究者は、早くも攻撃の兆候が見られると報告しています。管理者は、修正プログラムが公開される前に、影響を受ける可能性のあるシステムを洗い出しておく必要があります。

PHPのセキュリティチームは、パッチの公開を2026年10月21日14:00（UTC、米国東部時間では午前10時）に予定しています。2件の脆弱性はいずれも、共通脆弱性評価システム（CVSS）v4.0で9.2と評価されています。研究者はリモートコード実行（RCE）の恐れがあると警告していますが、PHP側は攻撃の仕組みや影響を受けるバージョンをまだ確認していません。

PHPで動作するWebサイトやEコマースプラットフォーム、独自アプリケーションを運用する組織は、脆弱性の影響を受ける可能性があるランタイムを特定し、パッチ適用の調整を進める必要があります。サポートが終了したインストール環境は、通常の上流のセキュリティ更新を受けられないため、対応がさらに難しくなります。

PHPの重大な脆弱性2件と、確認され始めた攻撃

PHPは10月20日のセキュリティ告知で、管理者に対し、直ちにアップグレードできるよう準備することを促しました。技術的な詳細が公になった場合や、悪用の実態が確認された場合には、修正の公開が前倒しになる可能性があるとも述べています。

CERT-EUは、これらの脆弱性をCVE-2026-109618およびCVE-2026-109619として特定しました。研究者は、PHP 5まで遡るバージョンが影響を受ける可能性を指摘していますが、公式な影響範囲は確認されていません。悪用に成功すれば、認証なしの攻撃者が脆弱なサーバー上でコードを実行できる恐れがあります。

セキュリティ企業のwatchTowrはBleepingComputerに対し、CVE-2026-109618を再現できたとみていると語りました。その後、Tenableが、Cloudflareが初期段階の攻撃を観測していると報告しました。ただし、実際にどの程度の侵害が成功したのかは分かっていません。

報告されている脆弱性は、サードパーティ製アプリケーションのプラグインではなく、PHP本体に関わるものです。最近のBricksforge（WordPress）の脆弱性でも、PHPで動くWebサイトがコード実行の危険にさらされました。ただ、アプリケーションのコンポーネントを更新するだけでは、影響を受けるPHP環境の問題が解消されるとは限りません。

緊急修正に向けたPHPシステムの準備

管理者は、検証済みのPHPセキュリティパッチが公開され次第、インストールできるよう準備を整えるべきです。PHPのサポート対象バージョンに関する方針では、8.2から8.5までのブランチが対象です。それより古いリリースは上流のサポートがありませんが、ベンダーがバックポートによる修正を提供する場合があります。

セキュリティチームは、次の6つの対策を優先してください。

• 公開されているPHPシステムの特定。インターネットに面したアプリケーション、サーバー、コンテナ、ホスティング環境を棚卸しします。コマンドラインでのバージョン確認だけに頼らず、本番環境のランタイムを確認してください。
• 更新の準備と検証。パッチ適用の調整、バックアップの確認、互換性テストを行い、影響を受けるコンテナを再構築します。最近のNGINXのセキュリティ修正も、インストール済みのバージョンと設定を確認する必要性を示しています。
• アクセスと権限の制限。脆弱なワークロードを隔離し、最小権限の原則に沿ったパーミッションを適用して、不要な外部接続を制限します。
• 一時的な防御の強化。WAFやホスティング事業者の保護機能を見直します。Cloudflareは10月21日の緊急WAF更新で、異常なリクエストに対応する4つのマネージドルール（ブロック用2件、ログ記録用2件）を追加しました。ただしCloudflareは、この発表でPHPのCVEには言及しておらず、こうした対策はパッチ適用の代わりにはなりません。最近のSiteGuard WAFの脆弱性も、防御基盤を適切に維持する必要性を浮き彫りにしています。
• 侵害の兆候の監視。不審なHTTPリクエスト、想定外のサーバープロセス、不正なファイル変更を調査します。証拠を保全し、漏えいした可能性のある認証情報を評価してください。
• インシデント対応計画のテスト。封じ込め手順、エスカレーション先の連絡先、バックアップからの復元を確認します。サーバーの隔離と復旧を想定した演習も実施してください。

マネージドホスティングの利用者は、パッチの適用スケジュールを事業者に確認する必要があります。CloudLinuxのパッケージ告知によると、ホスティング用の更新パッケージは、上流のPHPの修正に依存します。

サポート対象外のPHP環境では、ベンダーによるバックポートの適用、移行、もしくはアクセス制限による露出の抑制を継続する必要があります。基本的な対策は、検証済みのランタイム更新を適用することです。

関連記事：最近のIvantiのVPNゼロデイ攻撃は、パッチ適用に加えて、認証情報の窃取や不正アクセスの可能性に関する調査も必要であることを示しています。