- PHPが2件の重大なリモートコード実行の脆弱性を公表、Webサイトの乗っ取りやデータ窃取の恐れ
- パッチ公開前に詳細が流出、PHPは事前のセキュリティ勧告を出し、早急なアップグレードを呼びかけ
- 研究者が脆弱性の実在を確認、複数のPHPバージョンに広範な影響が及ぶ見通し
世界で最も人気のあるWebサイトやウェブアプリケーション向けプログラミング言語とも言われるPHPに、2件の重大（クリティカル）レベルの脆弱性が見つかりました。多数のサイトがリモートコード実行（RCE）攻撃にさらされる恐れがあると、PHPの提供元が明らかにしています。
これらの脆弱性が悪用されると、Webサイトの乗っ取り、データ窃取、不正なリダイレクトなど、さまざまな深刻な事態につながる可能性があります。
セキュリティ対応の大混雑
PHPは新たなセキュリティ勧告を公表し、近く公開されるパッチについて管理者に事前に注意を促しました。
勧告には「PHPセキュリティチームは、近日中のセキュリティリリースについて事前にお知らせします」と記されています。
「リリースは2026年10月21日（水）14:00 UTCに予定されています。対象は2件の重大な脆弱性で、いずれもCVSS v4.0で9.2と評価されています。すべてのPHPユーザーは今のうちに準備を進め、リリースが公開され次第アップグレードできるようにしてください。いずれかの脆弱性の詳細が公になった場合や、実環境での悪用の証拠が確認された場合は、予定を早めてリリースする場合があります。詳細、影響を受けるバージョン、修正バージョンは、リリースと同時に公表します」
この発表はかなり異例で、それならパッチをそのまま公開すればよいのではないかと思うかもしれません。その指摘はもっともです。問題は、公式のエンバーゴ（情報公開の禁止期間）が解除される前に、何者かが脆弱性の情報を漏らしてしまったことです。これを受け、サイバーセキュリティ業界は情報の確認に追われました。
その人物は「petecooper」というハンドル名を使うユーザーで、今週初めにY Combinatorのフォーラム「Hacker News」に新規投稿をしました。投稿では、PHPが2026年10月22日に2件のリモートコード実行のバグを公表すると主張していました。
投稿はその後削除されたため、独自に裏付けることはできませんでした。ただ、BleepingComputerによると、この投稿は、バグのCVSSスコアが10.0で、PHP 5まで遡るバージョンが影響を受けると主張していたということです。
投稿ではこれらのバグをCVE-2026-109618、CVE-2026-109619と記載しており、この番号はその後、事実だと確認されました。誤っていたのはCVSSスコアだけで、実際は10.0ではなく9.2とみられます。
この脆弱性と近日公開のパッチを事前に把握していた関係者には、watchTowrや、Nextron Systemsのリサーチ責任者であるFlorian Roth氏が含まれていました。
報道解禁（エンバーゴ）は10月20日に設定されており、パッチはその翌日の10月21日に公開される予定でした。ところが昨日、Roth氏はXに「すでにニュースが出回っているので書くが、PHPコアにCVSS 10.0のRCE脆弱性がある。詳細は10月20日に公開される予定だ。パッチが提供されるのはPHP 8のみだ」と投稿しました。
流出したゼロデイ
BleepingComputerによると、この流出によりPHPは対応を迫られ、勧告の公表だけでなく、ANNOUNCEメーリングリストへの通知も行いました。
セキュリティ研究者のwatchTowrはこの件を認め、バグはCVE-2026-109618とCVE-2026-109619として管理されていると述べました。この2件はコミュニティで「php2shell」と呼ばれています。ユーザー保護のため技術的な詳細は伏せられていますが、影響を受けるのはPHP 5、6、7、8とみられます。
watchTowrのBenjamin Harris CEOはBleepingComputerに対し、次のように語りました。「この1時間のうちに、PHPのリモートコード実行の脆弱性2件が流出しました。これらは以前からエンバーゴの対象で、米東部時間の木曜午前11時に公開される予定でした」
「事の機微を考えれば当然ですが、現時点で技術的な情報は共有できません。ただ、これらの脆弱性が確かに実在することは確認できます。どちらもCVSS 10で、PHP 5、6、7、8に影響すると理解しています」
研究者らは同メディアに、CVE-2026-109618の再現にも成功し、脆弱性が実際に機能することを確認したと伝えました。幸い、これらの脆弱性がゼロデイとして実環境で悪用されたという確認済みの報告は、今のところありません。
