本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
PHPの重大な脆弱性「PHP2shell」の修正公開を巡り、PHP開発者側とソフトウェア供給網のセキュリティ企業Chainguardの間で対立が生じている。2026年10月21日付のThe Registerによると、PHP側は同社が公式開示前に修正済みコンテナイメージを公開したと批判。一方、ChainguardのDan Lorenc CEOは、実際の攻撃を示す情報があったことを早期公開の理由に挙げた。
争点は修正を公開するタイミング
PHP Foundationの10月21日付発表によると、脆弱性情報の一部が20日に流出したため、PHP側は当初22日に予定していた公式公開を21日14時（UTC）へ前倒しした。しかしChainguardは21日07時41分（UTC）、予定より6時間以上早く修正済みイメージを公開したという。
PHP側は、事前に提供した修正を同社が協調開示の取り決めに反して公開し、攻撃者が修正内容を解析できる状態にしたと批判している。
一方、Lorenc氏はThe Registerに対し、実際の攻撃を示す情報がある場合は協調開示の例外に当たるとの考えを説明した。ただしPHP Foundationは、公式公開時点で機能する攻撃コードを特定していなかったとしており、攻撃状況の認識にも違いがある。
修正版は提供済み、利用者には再デプロイを要請
PHP2shellはCVE-2026-109618とCVE-2026-109619の2件で、CVSS v4.0の評価はいずれも9.2。PHPのメモリ管理などに関わる問題で、ウェブリクエストを処理する環境では認証なしの遠隔コード実行につながる恐れがある。
PHP公式は10月21日、修正版8.2.35、8.3.36、8.4.27、8.5.12を公開した。Chainguardも修正済みパッケージとイメージを提供し、PHPを含むイメージの再取得と再デプロイを求めている。対象はPHP専用イメージに加え、WordPressやDrupalなどPHPを同梱するものや、PHPパッケージを追加したカスタムイメージにも及ぶ。
適用確認では、Chainguard独自のパッケージ版番号に注意が必要だ。例えば同社のphp-8.4は8.4.26-r4以降が修正済みとなり、PHP公式の8.4.27とは表記が異なる。同社は古いレイヤーを再利用しない再ビルドに加え、署名検証やSBOMによるパッケージ確認も案内している。
参考・出典
- Today’s PHP Security Release, and How We’re Strengthening PHP Security
- PHP Security Advisory: Critical remote code execution vulnerabilities
- ACTION REQUIRED: Update Chainguard images with PHP for CVE-2026-109618 and CVE-2026-109619
- PHP blames supply chain security biz Chainguard for putting entire web at risk
- Cloudflare deploys protections against php2shell vulnerability
- PHP2Shell Vulnerabilities Allow Remote Code Execution in PHP Runtimes
