PHP、緊急パッチからわずか2日後に新たな未修正RCEリスク(CVE-2026-115560)を公表

概要

PHP開発チームは10月23日、新たな未修正のリモートコード実行(RCE)リスク「CVE-2026-115560」を公表した。10月21日にCVE-2026-109618とCVE-2026-109619(通称「PHP2Shell」)の緊急パッチを公開してからわずか2日後の発表であり、PHPの深刻な脆弱性対応が立て続けに続く事態となっている。今回の問題は先の2件とは別系統の欠陥で、既に配布済みの緊急パッチでは対応されていない。修正版はまだ提供されておらず、通常の定期バグ修正リリースに向けて作業が進められる見通しだ。

脆弱性の技術的な詳細

CVE-2026-115560が発生するには、PHP開発チームの説明によれば以下の3条件がすべて満たされる必要がある。すなわち、session.serialize_handlerをphp_binaryまたはphp_serializeに設定していること、実行中にini_set()を用いてこの設定値をphpに変更していること、そしてその変更がsession_start()より前に行われていることである。これに加えて、セッションのアップロードプログレス機能が有効化されている状態が必須条件となる。PHP自身はこの組み合わせの構成を「実務上あり得ない」と評価しており、一般的なリスクとしては低いとの見立てを示している。

PHP2Shellとの関係と対応策

今回の脆弱性は、10月21日にパッチが公開されたPHP2Shell関連のCVE-2026-109618・CVE-2026-109619とは独立した問題であり、両者の修正が今回のリスクをカバーするものではない点に注意が必要だ。PHP開発チームが示す暫定的な回避策は、session.upload_progress.enabled=0への設定変更であり、これは前回のPHP2Shell対応で案内されていた緩和策と同一のものである。現時点でCVE-2026-115560の悪用報告は確認されておらず、観測されている攻撃はいずれも10月21日にパッチ済みの2件を狙ったものにとどまる。

今後の見通し

PHPはどのバージョンが影響を受けるか、またどのリリースで修正が取り込まれるかについて、現時点で詳細を公表していない。緊急リリースとしてではなく通常のリリースサイクルの中で対応される見通しであることから、管理者はまずsession.upload_progress.enabled=0の設定による暫定対応を優先し、定期リリースでの修正適用を待つことになる。PHP2Shell関連の対応に追われていた管理者にとっては、立て続けの注意喚起となるため、session関連の設定を含めた構成全体の見直しが推奨される。