本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
PHP開発チームは2026年10月21日、認証なしで遠隔からコードを実行される恐れのある重大な脆弱性2件を修正したバージョンを公開した。財務省は同日、安全対策のためホームページの一部コンテンツ・サービスを一時停止したと発表。欧州でも政府機関などが予防的にサイトを停止したと報じられている。
予防的な停止と緊急更新
財務省は、停止対象となる可能性があるものとしてPHPで動作するコンテンツを挙げた。管理下のWebサーバーや関連システムを緊急点検し、修正プログラムを適用すると説明している。停止対象はホームページの一部に限られる。
Internazionale掲載のロイター配信によると、オランダの政府関連サイト、デンマークの学校連絡サービス、フィンランドの政府公開ネットワークサービス、フランス内務省のサイトなどでも予防的な停止が行われた。
修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35。対象はCVE-2026-109618とCVE-2026-109619で、前者はメモリー不足時に初期化途中の内部データを不適切に扱う問題、後者はメモリー解放後に残った内部状態を後続のリクエストが使用する問題だ。
PHP開発チームは、Webリクエストを処理する各種構成をリスク対象としている。特にApacheのmod_phpを最も高リスクと評価し、アプリケーションのコードが動く前に攻撃が成立する実証があると説明した。
ENISAなどの欧州機関は、直ちに修正できない場合、対象アプリケーションを公開ネットワークから隔離することを検討するよう勧告した。製品内部でPHPを使用している場合もあるため、提供事業者への確認が必要としている。PHP 8.1以前は通常のサポート対象外で、PHP公式はLinuxディストリビューションや長期サポート提供者による修正の確認を案内している。
対応遅延の説明と悪用試行の検知
PHP Foundationは、一方の脆弱性につながる問題の初期兆候が2024年に見つかっていたと説明し、対応の遅れを構造的な失敗と認めた。当時は攻撃の可能性が理論上想定されていたものの、具体的な経路が見つからず、互換性への影響や開発体制上の課題も修正を難しくしていたという。
悪用状況について、カナダ当局の10月21日付資料には、その時点で悪用は確認されていないと記されていた。一方、22日掲載のロイター記事によると、Amazonは10月17日におとりシステムで悪用の試みを検知したと説明した。またCloudflareも21日付の発表で、脆弱性を狙った攻撃通信を観測したと明らかにしている。ただし、攻撃試行の観測と実際のWebサイトへの侵入成功は区別する必要があり、Amazonが検知した試行が実サイトでも成功したかどうかは不明と報じられている。
参考・出典
- Security advisory: Critical remote code execution vulnerabilities, update now
- PHPの脆弱性対応に伴うWebサイト・一部コンテンツの一時停止のお知らせ
- Joint statement on critical PHP vulnerabilities
- Today’s PHP Security Release, and How We’re Strengthening PHP Security
- Government websites go dark after AI-discovered flaw sparks security scramble
- PHP developers issue updates to fix vulnerabilities, says flaw was found in 2024
- AL26-026 – Critical vulnerabilities impacting PHP
- Cloudflare deploys protections against php2shell vulnerability
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
