[ITmedia News] PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開 「直ちにアップデートを」

著者 山川晶之

[ITmedia]

　プログラミング言語「PHP」開発プロジェクトは10月21日（協定世界時）、「緊急」レベルの脆弱性2件を修正したPHP 8.5.12／8.4.27／8.3.36／8.2.35を公開したと発表した。20日に予告していたセキュリティアップデートに関するもので、攻撃者が遠隔で任意のコードを実行できてしまう脆弱性などを修正する。「全てのPHPユーザーは、直ちにアップデートすることを強く推奨する」と公式サイトで案内している。

　1つ目の脆弱性は、メモリ不足時の処理に起因するもの（CVE-2026-109618）で、リクエストの内部データの初期化中に処理が中断され、その後の終了処理が不完全なデータを正常なものとして扱う恐れがあるという。2つ目は、リクエストが使っていたメモリを解放した後も、そのメモリを指す内部状態が残ってしまう問題（CVE-2026-109619）で、同じプロセス（ワーカー）によって処理される別のリクエストが、リセットされる前に残った内部状態を使用してしまう恐れがあるとしている。

　対象は、PHP-FPM、Apacheのモジュール版（mod_php）、php-cgi、FrankenPHP、LiteSpeedなど。中でもmod_phpが最も危険としており、アプリケーションのコードが動く前に、認証なしのリクエストで攻撃を引き起こせることが実証されているという。

　Linuxディストリビューションや長期サポート（LTS）を提供するベンダーには事前にパッチを渡しており、各社の更新パッケージを確認するよう求めている。更新対象外となっているPHP 8.1以前については、ベンダーに修正の有無を確認するか、サポート中のバージョンへ移行するよう呼び掛けている。その一方で、脆弱性の深刻さを踏まえ、7.4、8.0、8.1向けにも最小限の修正を施したソースコードを公開した。

　なお、すぐに更新できない場合の対策として、メモリ使用量の上限をなくす設定や、ファイルのアップロード状況をセッションに記録する機能の無効化なども挙げている。ただし、いずれも特定の攻撃経路への露出を減らす措置で、「完全な緩和策はなく、アップデートが唯一の安全な選択肢」としている。

　PHPの脆弱性を巡っては、国内企業が予防措置としての緊急メンテナンスを相次ぎ発表。保育園向けSaaSを運営するコドモンの他、BASE、Cygames、ニコニコ、pixiv、静岡銀行、阪急電鉄などが公式サイト／Webサービスを一時的に停止。さくらインターネットやXServer、GMOペパボなどのレンタルサーバ各社も緊急メンテナンスを実施している。なお、pixivなど一部ではサービスを再開している。