- PHPが2件の深刻なリモートコード実行の脆弱性に対する修正を公開し、直ちにパッチを適用するよう呼びかけた
- セキュリティ研究者やCloudflareは、パッチ公開前から初期の悪用の試みを確認したと報告
- インターネットに公開された数百万のPHP環境が危険にさらされる可能性があり、特にサポート終了済みの旧バージョンが深刻
PHPは、2件の深刻なリモートコード実行（RCE）の脆弱性に対するパッチをリリースし、すべてのユーザーに早急な適用を「強く推奨」しました。ハッカーが実際の攻撃でこれらの欠陥を悪用し始めているためです。
PHPは新たなセキュリティアドバイザリを公表し、CVE-2026-109618とCVE-2026-109619をパッチで修正したと説明しています。前者はメモリ不足（OOM）の処理に関する不具合、後者は解放後メモリ使用（use-after-free）のエラーです。どちらも深刻度スコアは10点満点中9.2（クリティカル）と評価されました。
脆弱性は、PHP 8.5.12、8.4.27、8.3.36、8.2.35で修正されています。各バージョンはPHPのダウンロードページから入手でき、Windows向けのソースとバイナリも同じページに掲載されています。Linuxディストリビューションと長期サポート（LTS）ベンダーには事前にパッチが提供されたとのことです。ユーザーは、更新パッケージについて各ベンダーに確認してください。
インターネットの基盤を揺るがす事態に
PHPは、世界のWebサイトやWebアプリケーションで最も広く使われているプログラミング言語の一つです。そのため、リモートコード実行のゼロデイ脆弱性が見つかれば大事になります。
PHPは、サイバー犯罪者に悪用の先手を与えないよう、静かに対策を進めるはずでした。ところが、脆弱性に関する情報は2日前にインターネット上に流出し、大きな混乱を招きました。Reutersによると、欧州各地の複数の政府機関、医療機関、教育機関のWebサイトが、標的にされるのを避けるため一時的に閉鎖を決めました。
情報源によって主張は食い違っています。たとえば、Nextron Systemsのリサーチ責任者であるFlorian Roth氏は、両方の脆弱性に10点満点の深刻度が付くと述べましたが、実際にはそうなりませんでした。また、パッチが提供されるのはPHP 8のみだとも述べており、こちらは的中しました。他の情報源は、バージョン5までさかのぼって修正されると主張していました。
この点も大きな問題です。数百万のWebサイトがサポート終了済みの古いPHPを実行しているとみて間違いなく、比較的容易に狙われかねないからです。BleepingComputerはVirusTotalのデータを引用し、現在510万台超のPHPホストがオンラインに露出しており、そのうち約380万台は少なくとも1つのポートが開いていると伝えました。
PHPによると、「PHP-FPM、mod_php付きのApache、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するすべてのPHP環境」が危険にさらされています。「リスクが最も高いのはmod_phpだと考えています。認証されていないリクエストによって、アプリケーションコードが実行される前に攻撃を引き起こせる実証済みのエクスプロイトがあるためです」
サポート対象外のバージョン
PHP 8.1以前のバージョンは修正されません。これらを使用している場合は危険な状態にあります。CloudflareのCTOであるDane Knecht氏は、同社が「初期の攻撃が出現しているのを確認して」おり、新たな攻撃経路が現れるたびに緩和策を更新していると述べました。この発言はPHPが修正をリリースする数時間前のものです。PHPは「これらの脆弱性の深刻さを踏まえ、PHPセキュリティチームは、ソースからビルドする人やLTSベンダーを利用できない人を支援するため、PHP 7.4、PHP 8.0、PHP 8.1向けに最小限のソースバックポートを提供しました」と付け加えています。
最も安全な対処法は、PHPを更新することです。すぐに更新できない場合のために、PHPはいくつかの緩和策を推奨していますが、完全な解決策ではないと強調しています。メモリ不足の欠陥については、メモリ上限を適切に設定することに加え、ファイルアップロードを含む受信リクエストのサイズを制限し、メモリ関連の攻撃のリスクを減らすよう、メンテナーは勧めています。また、管理者はコンテナの制限を利用すれば、脆弱なワーカーがシステム全体に影響を及ぼすのを防げるとしています。
解放後メモリ使用の欠陥については、管理者がセッションのアップロード進捗追跡を無効にし、（PHP 8.5では）致命的エラーのバックトレースを有効にできるとPHPは説明しています。さらに、クラッシュやタイムアウトを引き起こしかねないアプリケーションのエラーを修正し、アプリが完全に初期化される前にエラーメッセージを生成する古い設定は避けるべきだとしています。
