PHP、新たなRCE脆弱性への緩和策を公表

人気プログラミング言語PHPのメンテナーは、新たなリモートコード実行（RCE）の脆弱性について警告しました。ただし、影響を受けるのはユーザー全体のうち比較的少数にとどまる可能性が高いとしています。

PHPのセキュリティチームは10月23日に公表したアドバイザリーで、CVE-2026-115560は次回のリリースまで修正されない見通しだと説明しました。悪用に必要な条件が、ほとんどの環境では満たされないためです。

同チームは次のように説明しています。「この問題が発生するのは、設定とアプリケーションコードが特殊な組み合わせになっている場合に限られます。アプリケーションが設定でsession.serialize_handlerをphp_binaryまたはphp_serializeに指定し、その後session_start()を呼び出す前にini_set()で実行時にphpへ切り替えている場合です」

「さらに、セッションアップロード進捗の機能が有効なままになっている必要があります。実行時にシリアライズハンドラーを変更しないアプリケーションであれば、この機能を有効のまま使い続けられます」

PHPに関する関連記事：脆弱性公表の4日前に、AmazonがPHP2Shellの悪用の試みを検知

システム管理者には、10月21日にPHPがCVE-2026-109619のアドバイザリーで推奨した緩和策を適用するよう強く求めています。CVE-2026-109619は、先週公表された最高深刻度の2件の脆弱性のうちの1件です。 

PHPのチームは次のように述べています。「可能性は低いものの、RCEにつながり得る経路から完全に保護するため、次回の定期バグ修正リリースまでsession.upload_progress.enabled=0に設定することを推奨します」

「［先週］すでに適用済みの場合は、そのまま維持してください。追加の対応は必要ありません」

セキュリティチームの負担がさらに増加

先週は、管理者が最高深刻度のゼロデイ脆弱性（CVE-2026-109618とCVE-2026-109619）へのパッチ適用に追われ、各地でウェブサイトの大規模な障害が発生しました。これら2件は「P2PShell」と総称されています。

SwimlaneのCISO、Mike Lyborg氏は、PHP2Shellの影響で多くの組織が数日間にわたり混乱した後だけに、今回の脆弱性には「的確な対応」が必要だと指摘しました。

同氏は次のように述べています。「警告が相次ぐなかでサービスの稼働を維持するには、全員が疲弊した後でも持ちこたえられる連携体制が欠かせません。先週PHPへの対応に当たった組織にとって、次のボトルネックとなり得るのは、リスクを評価する担当者と、本番サービスの変更を承認された担当者との間の引き継ぎです」

パッチの公開予定日の前日に、これらの脆弱性の詳細が誤って開示されたことも、対応の緊急性をいっそう高めました。

その後、Amazon Web Services（AWS）は、正体不明の攻撃者が正式な公表の4日前に、これらのバグの悪用を試みていたことを明らかにしました。攻撃に必要な情報を、攻撃者がどのように入手したのかは、いまだ分かっていません。

PHPは世界のウェブサイトの約70%で使われており、WordPress、Drupal、Joomla、Magentoといったコンテンツ管理システム（CMS） も含まれます。このため、P2PShellへのパッチ適用は世界規模の大がかりな取り組みとなっています。

先週は、管理者が最高深刻度のゼロデイ脆弱性（CVE-2026-109618とCVE-2026-109619）へのパッチ適用に追われ、各地でウェブサイトの大規模な障害が発生しました。これら2件は「P2PShell」と総称されています。