概要
PHPコアに未認証のリモートコード実行(RCE)を許す重大な脆弱性2件、CVE-2026-109618とCVE-2026-109619が見つかった。PHP開発チームはCVSS v4.0で9.2のスコアを割り当てているが、情報流出の過程ではセキュリティ研究者watchTowrが当初10.0相当として報じており、評価にばらつきが見られる。当初は10月22日午前11時(米東部時間)に修正版の公開が予定されていたが、脆弱性情報と攻撃ツールの流出を受けて10月21日14:00 UTC(米東部時間10:00AM)に前倒しされた。公式にパッチが提供されるのはサポート対象の8.5、8.4、8.3、8.2系列のみで、EOL(サポート終了)となっている8.1以前のバージョンにはベンダー提供の修正がない。一方でBleepingComputerはPHP 5、6、7、8の広い範囲に影響が及ぶ可能性があると報じており、Shodan調査では現在もPHP 8.1以前を稼働させる外部公開ホストが約88万4千台存在するとMalloryが指摘している。パッチ適用自体が不可能な環境が大量に残る点が、今回の問題を一段と深刻にしている。
流出の経緯と攻撃ツール「PHP2Shell」
事態が急転したのは10月20日、Hacker News上に脆弱性の詳細とされる情報が投稿されたことだった。この投稿では、Calif.IOという名義の開発者によるものとされるエクスプロイトツール「PHP2Shell」のスクリーンショットも、セキュリティアドバイザリーと共に流出したという。PHP開発チームはこれを受けて同日19:33 UTCに緊急の注意喚起を発表し、「いずれかの脆弱性の詳細が公になった場合、あるいは実際の悪用の証拠が確認された場合には、より早期にリリースする権利を留保する」との趣旨の声明を出していた。脆弱性自体の技術的な仕組みについては、記事執筆時点でPHP側から具体的な説明は公開されておらず、watchTowr関連の資料でも「リモートコード実行を許す」という点以外の詳細は明らかになっていない。研究機関sansecは、MagentoやShopware、WooCommerceといった主要なECプラットフォームもPHP上で広く稼働しているため、今回の脆弱性の影響を受けると指摘している。
対応に追われる管理者とリスク評価
脆弱性情報の信頼性については議論が残っており、thehackernewsはリークの出典について「“ソースは信じてくれ”以上の確証がない」と評価の難しさを指摘している。それでもセキュリティベンダーの反応は速く、Huntressは10月20日時点で自社パートナー環境における悪用例や、概念実証(PoC)コード・公開エクスプロイトの存在は確認されていないと報告した一方、watchTowrはCVE-2026-109618の再現に成功したとしており、脆弱性自体の実在性は裏付けられている。sansecはさらに、PHPの修正版公開から「15分以内に大規模な攻撃が始まる」と予想している。なお、thehackernewsは、2024年に発覚したWindows版PHP CGIモードの脆弱性CVE-2024-4577が公開から24時間以内にAkamaiのハニーポットへの攻撃を観測された前例を挙げ、警戒を呼びかけている。各社が推奨する対応は共通して、まず社内のPHP稼働環境を棚卸しし、パッチを即時適用できる体制を整えること、EOLブランチが稼働するシステムは隔離するかVPN経由のみでアクセス可能にすること、CERT-EUが提言するようにインターネットからの直接アクセス遮断も検討すること、php-fpmやApacheのプロセスを監視し侵害の兆候があれば直ちにサーバーを隔離して証拠を保全することなどが挙げられている。緊急の緩和策としては、php.iniでsession.upload_progress.enabledを無効化するといった設定変更も提案されており、パッチ適用までの時間を少しでも稼ぐ動きが広がっている。