[ITmedia エンタープライズ] PHPに深刻な脆弱性 更新だけで対策は終わらない、企業が最初にやるべき2つのこと

PHPの開発チームが、認証不要のリモートコード実行につながる2件の重大脆弱性を修正するセキュリティリリースを公開した。IPAも注意喚起を出し、速やかな適用を促す。だが、全てのシステムを直ちに更新できる企業ばかりではない。何から手を付けるべきか。

» 2026年10月22日 13時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　The PHP Groupは2026年10月21日（協定世界時）、Webアプリケーション開発言語「PHP」の2件の脆弱（ぜいじゃく）性を修正するセキュリティリリースを公開した。いずれも認証を経ずにリモートでコードを実行される恐れがあり、深刻度は共通脆弱性評価システム（CVSS v4.0）で9.2と評価されている。

　影響はWebリクエストを処理する全てのPHP実行環境に及ぶ。PHPの開発チームは公開前日に異例の事前予告を出し、情報処理推進機構（IPA）も日本時間の10月21日、国内の利用者に適用準備を求める注意喚起を公表した。IPAは2024年7月にもPHPの別の脆弱性を悪用した攻撃について注意喚起した経緯に触れ、公開後の迅速な対応を促している。

　ただし、修正版を当てて終わり、とはいかない事情がある。本番システムには検証を経ずに更新できないものがあり、PHPを内部に組み込んだ製品や機器は利用者側で影響を把握しにくい。

すぐに更新できない企業が取るべき対応は

　PHPはソフトウェア製品や機器の内部にも広く組み込まれており、自社システムの更新だけでは影響を潰し切れない。PHPの開発チームは、すぐに更新できない場合に設定変更で攻撃経路を部分的に塞いで時間を確保する軽減策を示し、各国のセキュリティ機関は、PHPを組み込んだ製品の棚卸しを並行して進めるよう求めている。

　開発チームが公開した修正版は「PHP 8.5.12」「同8.4.27」「同8.3.36」「同8.2.35」の4系統だ。サポートを終了したPHP 7.4、8.0、8.1についても、今回は例外的にソースコードの修正を公開した。なお、PHP 8.2は2026年12月31日にサポートを終える予定だ。

　修正されたのは次の2件の脆弱性だ。

1. CVE-2026-109618：　メモリ不足時の処理がリクエストデータの初期化を中断させ、リクエスト終了時の後処理が不正なデータを有効なものとして扱う恐れがある
2. CVE-2026-109619：　リクエストに属する内部状態が、メモリ解放後も残存し得る。同じワーカープロセスが処理する後続のリクエストが、初期化前にその状態を参照する恐れがある

　影響は「PHP-FPM」やApacheの「mod_php」など、Webリクエストを処理する全ての実行環境に及ぶ。開発チームは、mod_phpでは、アプリケーションのコードが実行される前の段階で、認証を経ないリクエストによって攻撃が成立することが実証されているとして、そのリスクを最も高く位置付けている。EUの機関向けセキュリティ組織CERT-EUは、PHP 5以降が影響を受けるとの見方を示す。

　開発チームはセキュリティアドバイザリーで、更新だけが完全な解決策だとした上で、すぐに更新できない場合の軽減策を示している。メモリ使用量の上限の撤廃や受信データサイズの制限、セッションのアップロード進捗（しんちょく）機能の無効化などで、特定の攻撃経路への露出を減らせるという。ただし、これらの措置を講じても安全にはならないと開発チームは明記しており、設定の詳細はアドバイザリーで確認できる。

PHPを組み込んだ製品をどう洗い出すか

　IPAは、自組織で開発、運用するプログラムのうちPHPを利用するものを可能な範囲で棚卸しするよう求めている。ソフトウェア製品やネットワーク機器に組み込まれたPHPについては、まず製品のマニュアルや開発元のセキュリティ情報を確認するよう促す。

　英国の国家サイバーセキュリティセンター（NCSC）は、資産の特定から更新、暫定的な緩和、侵害有無の確認に至る優先対応を示した。その中でNCSCは、オランダの国家サイバーセキュリティセンター（NCSC-NL）がGitHubで公開するリポジトリ「php2shell」を紹介している。PHPに依存し、今回の脆弱性の影響を受ける可能性のあるソフトウェア製品の一覧で、製品ごとに2件のCVEへの対応状況を記載する。コミュニティからの情報提供で随時更新される方式だ。NCSC-NLは2021年にJavaのログ出力ライブラリ「Log4j」の脆弱性が広範な影響を与えた際にも、同種のリストを運営した。NCSC-NLはリポジトリが作成途上であり、拡充を続けているとしている。

　IPAは、2026年10月21日の公表時点で、今回の脆弱性を悪用した攻撃を確認していないとしている。一方でIPAは、サポート終了の古いPHPを使い続けるWebサイトが見受けられるとし、攻撃者がごく短時間で悪用に動く可能性を踏まえて、修正版の速やかな適用に向けた準備を求めている。

関連記事

関連リンク

• Security advisory: Critical remote code execution vulnerabilities, update now（The PHP Group）
• 【事前準備のお願い】PHPのセキュリティリリース公開予定について（IPA）
• Critical security issue affecting PHP（NCSC）
• CVE-2026-109618
• CVE-2026-109619
• php2shell vulnerabilities（NCSC-NL）

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。