PHPの広範囲に及ぶ脆弱性、本日多数のサイトで障害の恐れ – Krebs on Security

本日は、「404」や「Page Not Found」のエラーを表示するウェブサイトが相当数にのぼる可能性があります。攻撃者に影響を受けるサーバーの完全な制御を許してしまう2件の脆弱性を修正するため、全ウェブサイトのおよそ70%でコアソフトウェアの更新が必要になっているためです。専門家によると、これらの脆弱性にはすでに動作する攻撃コードが存在し、深刻な欠陥は実際の攻撃でも悪用されています。

問題の脆弱性が見つかったのは、Drupal、Magento、Joomla、WordPressなど、数多くのウェブ公開システムで稼働するサイトの基盤となるプログラミング言語PHPです。PHPは本日未明、攻撃者が脆弱なサーバー上で任意のコードを実行できる2件の深刻なバグを修正するため、緊急のセキュリティ更新プログラムを公開しました。

Reutersは、PHPの脆弱性が公表された後、欧州などの政府機関のウェブサイトが本日オフラインになったと報じています。Cloudflareは、この脆弱性を悪用する動きをすでに一部検知したと明らかにしました。同社は協定世界時（UTC）の午前3時2分、これらの脆弱性を突く攻撃トラフィックからウェブサイトを守るため、WAF（ウェブアプリケーションファイアウォール）ルールを適用しました。脆弱性を悪用されると、サービス拒否、リモートコード実行、データ漏えいを引き起こす恐れがあります。

脆弱性の調査と関係者への連絡に関わったOpenAIは、「これらの脆弱性の深刻度とPHPの広範な利用状況を踏まえると、近年でも特に影響の大きいセキュリティ問題の一つと考えています」と述べています。

Wizのセキュリティ専門家によると、過去10年間にリリースされたPHPのすべてのバージョンが、これらの脆弱性の少なくとも一方の影響を受けます［情報開示：Wizは当ブログの広告主です］。

「今回の発見は、PHPで見つかった脆弱性の中でも、そしておそらくソフトウェアの歴史全体で見ても、最も深刻なものに数えられます」。Wizの研究チームは本日公開したブログ記事でこう指摘しています。Wizは、脆弱性を発見したとして名前が挙がった複数の組織の一つです。「根本的な欠陥は数十年前から存在していましたが、悪用可能であることを示すには、人間の研究者が現実的に達成できる限界に迫る、極めて複雑な手順の連鎖が必要でした。最先端のAIモデルがこの障壁を大幅に引き下げ、長年放置されていた欠陥を攻撃コードに変えたのです」

Wizの研究者らは、PHPの脆弱性が大規模に悪用され、ウェブベースのバックドア（ウェブシェル）が仕掛けられる可能性が高いとみています。ウェブシェルを使うと、攻撃者はウェブ上の管理画面から、感染したサイトを遠隔操作できます。Wizによると、PHPの脆弱性が公表される前に、同社はPHPチーム、CalifおよびOpenAIと協力し、問題の規模の把握、パッチの検証、そして公表の調整を進めていました。

PHPのゼロデイ脆弱性は、CVE番号CVE-2026-109618とCVE-2026-109619で管理されています。PHP 5.4以降を実行するすべてのウェブサーバーが影響を受けます。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。

Wizによると、PHPは多くのウェブアプリケーションに深く組み込まれているため、組織がこれらの脆弱性へのパッチ適用に今後しばらく苦労するとみられます。Wizは今回の2件を、2021年に表面化したLog4Shellの脆弱性に例えています。Log4ShellはJavaの有名なログ記録フレームワークLog4jに見つかった、これ以上ないほど深刻で広範囲に影響する欠陥でした。

「PHPのコアの脆弱性は、単一のアプリケーションをはるかに超えて影響を及ぼします」とWizの研究者らは記しています。「PHPはクラウド、ホスティング事業者、コンテンツ配信ネットワーク、そして独立して管理される何百万台ものサーバーで稼働しています。技術的な詳細が公開される前にリスクを減らすには、このエコシステム全体にわたる協調的な取り組みが必要でした」

SANS Internet Storm Centerは、これらのPHPの脆弱性に対応した更新プログラムを提供する主要ソフトウェアプラットフォームを監視しています。たとえばUbuntuは、更新版のPHPパッケージを公開したところです。

本件は状況が刻々と変化しています。更新情報は、タイムスタンプ付きでここに追記します。