備えを急いでください、PHPが2件の重大な脆弱性に対する緊急修正を公開へ

更新、2026年10月21日 午前9時55分:パッチが公開されました。修正はバージョン8.5.12、8.4.27、8.3.36、8.2.35として提供され、サポート対象のブランチである8.2から8.5までをカバーしています。以下は元の記事です。

PHPプロジェクトは、水曜日に予定外のセキュリティリリースを行う準備を進めています。脆弱性の詳細がオンラインで流出したうえ、大手インターネットインフラ企業が初期の攻撃を報告したことから、重大と評価する2件の脆弱性を修正します。

パッチは米東部夏時間（EDT）の水曜日午前10時に公開される予定です。対象はCVE-2026-109618とCVE-2026-109619として登録された2件の脆弱性で、深刻度を10点満点で示すCVSS v4.0スコアはいずれも9.2です。研究者らはこれらをリモートコード実行の脆弱性と説明しています。攻撃者がサーバー上で任意のコードを実行し、乗っ取る可能性があります。

研究者らは、これらの脆弱性を「php2shell」と呼んでいます。

技術的な原因も、影響を受けるバージョンの完全な一覧も、公式には確認されていません。PHPチームは、詳細はリリース時に公開するとしています。欧州連合（EU）のコンピューター緊急対応チームであるCERT-EUの勧告によると、これらの脆弱性はPHP 5以降のすべてのバージョンに影響する可能性があります。

セキュリティ企業のwatchTowrは火曜日、これらの脆弱性は当初、エンバーゴ（公表禁止措置）のもと木曜日に公開される予定だったと述べました。PHPチームはリリースを1日前倒しし、詳細が公になったり悪用が確認されたりした場合は、さらに早める可能性もあるとしています。

一夜にして、攻撃チェーンを実演する動画が研究者のKirill Firsov氏の投稿を通じてオンラインで拡散しました。同氏は動画を共有し、LCFRとCalif.ioとして知られる研究者らの成果だと紹介しています。watchTowrは、脆弱性のうち1件を再現したと明らかにしました。脆弱性を悪用すると称するコードも出回っていますが、検証されていません。セキュリティ企業は、こうしたコードにマルウェアが仕込まれている場合があると注意を呼びかけています。

Cloudflareの最高技術責任者（CTO）であるDane Knecht氏は水曜日、同社が「初期の攻撃の出現を確認している」と述べ、新たな攻撃経路が現れるたびに防御を更新していると説明しました。Cloudflareは、既知の悪用経路に対応するファイアウォールルールを、無料アカウントを含むすべての顧客に展開しました。ただし、この保護は「応急措置」にすぎないとしています。

影響が及ぶ範囲は広大です。市場調査によると、サーバーサイドの言語が判明しているWebサイトのうち、70〜80%がPHPで動作しています。WordPress、Drupal、Joomla、LaravelといったプラットフォームもPHPを基盤としています。研究者らは、インターネットに公開された130万台以上のホストが脆弱な可能性があると推定しています。Shodanの検索では約190万台が確認されました。バージョンを公開しているサーバーの多くは、すでにセキュリティ更新が提供されていないブランチを使用しています。VirusTotalによると、サポート対象のブランチが27万2,000台なのに対し、5.4から8.1までのバージョンを使うサーバーは約75万8,000台に上ります。

CERT-EUと英国の国家サイバーセキュリティセンター（NCSC）は、組織に対し、システムを迅速に更新できるよう準備することを推奨しました。すぐにパッチを適用できない場合は、インターネットに面したアプリケーションを隔離するよう勧めています。PHPの脆弱性が悪用された例は過去にもあります。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の既知の悪用された脆弱性カタログには、PHP本体の脆弱性が3件掲載されており、うち2件はランサムウェア攻撃で使われました。

続報は当日中に出る見通しです。PHPチームはリリースに合わせて詳細な勧告を公開する予定です。HuntressやTenableなどのセキュリティ企業も、技術的な詳細や概念実証（PoC）コードが明らかになり次第、分析を更新するとしています。