要約:
PHP 開発チームは、2026 年 10 月 21 日に緊急セキュリティ アップデートを正式にリリースし、2 つの重大なセキュリティ脆弱性を修正しました。これら 2 つの脆弱性には、それぞれ CVE-2026-109618 および CVE-2026-109619 の番号が付けられています。どちらも深刻と評価されており、攻撃者がログインせずにリモートからコードを実行できる可能性があります。当局は、サーバー攻撃を避けるために、すべての PHP ユーザーが直ちに修復バージョンにアップグレードすることを強く推奨しています。
今回リリースされた修正版には、PHP 8.5.12、8.4.27、8.3.36、8.2.35が含まれます。関係者らは、この脆弱性は、PHP-FPM、mod_phpを備えたApache、php-cgi、FrankenPHP、LiteSpeedなど、ネットワーク経由でリクエストを処理するPHP導入環境に影響を与えると指摘した。 PHP チームは、アプリケーション コードの実行が開始される前に攻撃者が攻撃を引き起こす可能性があることが実証されているため、Apache mod_php の使用による環境リスクが特に懸念されることを強調しました。
最初の脆弱性 CVE-2026-109618 は、メモリ枯渇処理メカニズムに関連しています。 PHP でメモリ不足が発生すると、内部リクエスト データが完全に初期化されていないときにプログラムが処理フローを中断し、リソースをクリーンアップするときにこれらの無効なデータを有効なデータとして使用することがあります。この異常な状態はメモリ破損を引き起こす可能性があり、特定の条件下ではさらに悪用され、最終的にはリモート コード実行が実現される可能性があります。
2 番目の脆弱性 CVE-2026-109619 には、メモリの解放と内部状態の期限切れが関係します。現在のリクエストに属する一部の内部状態は、対応するメモリが解放された後も残る場合があります。同じワーカー プロセスによって処理される後続のリクエストでは、通常の初期化によってこれらの状態がリセットされる前に古いデータが使用される可能性があり、セキュリティ上の問題が発生します。どちらの脆弱性も、攻撃者が元のプログラム実行境界を突破できる可能性があります。
両方の脆弱性の CVSS v4.0 スコアは 9.2 であり、深刻なレベルです。危険なのは、攻撃者が特定のネットワーク リクエストを作成して脆弱性をトリガーする際に、有効なアカウント、パスワード、またはその他の認証資格情報を必要としない可能性があることです。攻撃が成功すると、攻撃者はさらに悪意のあるコマンドを実行したり、データを盗んだり、悪意のあるプログラムを埋め込んだり、サーバー権限を使用して侵入範囲を拡大し続ける可能性があります。
PHP は、インターネット アプリケーションで最も一般的なサーバー側プログラミング言語の 1 つであり、動的な Web ページの生成、データベースの対話、バックグラウンド ビジネス処理に広く使用されています。 WordPress などのコンテンツ管理システムも PHP に依存して実行されるため、この脆弱性は特定の Web サイト プラットフォームに影響を与えるだけでなく、基盤となるオペレーティング環境にも影響します。 Web サイトが WordPress コア プログラムとプラグインを更新した場合でも、サーバー上の PHP バージョンが依然として脆弱である限り、Web サイトは引き続き危険にさらされる可能性があります。 WordPress 関係者は、この問題を WordPress コアアップデートのリリースによって解決する必要はないことも明らかにしました。ウェブサイトの所有者は、実際に実行されている PHP 環境を確認して更新する必要があります。
PHP 8.2 以降のサポートされているブランチを使用している Web サイトの場合、管理者は対応する修復バージョンをできるだけ早くインストールする必要があります。 PHP 8.1 以前のバージョンをまだ使用しているユーザーは、特別な注意を払う必要があります。これらのバージョンは、PHP プロジェクトによって直接提供されるセキュリティ更新プログラムを受信しなくなりました。ただし、一部の Linux ディストリビューション、長期サポート プロバイダー、またはその他のサプライヤーはロールバック パッチを提供する場合があるため、関連するユーザーは修正があるかどうかソフトウェア ベンダーに確認する必要があります。
セキュリティ機関は以前、Web サイトの脆弱性を時間内に修正できない場合は、外部アクセスを一時的に制限し、必要に応じてシステムをオフラインにすることを検討する必要があると警告しています。この脆弱性の公開により、多くの国や地域で緊急対応が開始されました。一部の欧州政府機関は、潜在的なリスクを軽減するために、パッチがリリースされる前に率先して Web サイトを閉鎖しました。ロイターの報道によると、オランダとフィンランドの一部の政府機関は、今回のセキュリティインシデントが公共ネットワークサービスに実際の圧力をかけていることを反映して、予防措置を講じているという。
PHP のパッチの公式緊急リリースは、以前は警告段階にあったセキュリティ問題が実際の修復段階に入ったことを意味します。 Web サイト運営者にとって、現在最も重要なタスクは、サーバーが実際に実行している PHP のバージョンを確認し、ホスティング プロバイダーがアップデートを展開しているかどうかを確認し、異常なプロセス、不正なファイル変更、または不審なネットワーク接続がないかシステムを確認することです。
ウェブサイトのセキュリティは、アプリケーション自体だけでなく、基盤となる動作環境が適時に維持されているかどうかにも依存します。 PHP はさまざまな Web サイトやサーバーに広く導入されているため、公式の修復バージョンをタイムリーにインストールすることが、これら 2 つの深刻な脆弱性のリスクを軽減するための重要な手段となります。
詳細:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
コメント