2件の重大なPHP脆弱性を受け、セキュリティ研究者が初期の攻撃活動を報告する中、緊急パッチ適用の警告が発せられた。管理者は、予定されている修正プログラムが提供される前に、外部に露出したシステムを特定しなければならない。
PHPセキュリティチームは、パッチを2026年10月21日14:00 UTC（米東部時間午前10時）に提供する予定だ。両方の脆弱性は、共通脆弱性評価システム（CVSS）v4.0で9.2と評価されている。研究者はリモートコード実行（RCE）の可能性を警告しているが、PHPは攻撃手法や影響を受けるバージョンを確認していない。
PHPで稼働するWebサイト、Eコマースプラットフォーム、カスタムアプリケーションを運用する組織は、脆弱性の可能性があるランタイムを特定し、パッチ適用を調整しなければならない。サポート対象外のインストール環境では、通常の上流セキュリティアップデートが提供されないため、さらに対応が難しくなる。
2件の重大なPHP脆弱性と拡大する攻撃
PHPは10月20日のセキュリティに関する発表で、管理者に直ちにアップグレードできるよう準備を促した。技術的な詳細が公になったり、実際の悪用を示す証拠が現れたりした場合は、修正プログラムの提供を前倒しする可能性もあるという。
CERT-EUは脆弱性をCVE-2026-109618およびCVE-2026-109619と特定した。研究者はPHP 5にまでさかのぼるバージョンが影響を受ける可能性を指摘しているが、正式な対象範囲はまだ確認されていない。悪用に成功すれば、認証されていない攻撃者が脆弱なサーバー上でコードを実行できる可能性がある。
セキュリティ企業のwatchTowrはBleepingComputerに対し、CVE-2026-109618の再現に成功したと考えていると述べた。その後Tenableは報告したところによると、Cloudflareは初期の攻撃を観測しているという。ただし、侵害に成功した件数や範囲はまだ不明だ。
報告された脆弱性は、サードパーティー製アプリケーションのプラグインではなく、PHP自体に存在する。最近のBricksforgeのWordPress脆弱性もPHPで動作するWebサイトをコード実行の危険にさらしたが、アプリケーションのコンポーネントだけを更新しても、影響を受けるPHPのインストール環境が必ず修正されるとは限らない。
緊急修正に備えるPHPシステム
管理者は、PHPのセキュリティパッチが提供され次第、検証済みのものをインストールできるよう準備しておくべきだ。PHPのサポート対象バージョンポリシーでは、8.2から8.5までのブランチが対象となる。古いリリースは上流のサポート対象外だが、ベンダーがバックポートした修正を提供する場合がある。
セキュリティチームは、次の6つの対策を優先すべきだ。
- 外部に露出したPHPシステムを特定する。インターネットに接続するアプリケーション、サーバー、コンテナ、ホスティング環境を一覧化する。コマンドラインでのバージョン確認だけに頼らず、本番環境のランタイムを検証する。
- アップデートを準備し、検証する。パッチ適用を調整し、バックアップを確認し、互換性をテストして、影響を受けたコンテナを再構築する。最近のNGINXのセキュリティ修正は、インストール済みのバージョンと設定を検証する必要性を改めて示している。
- アクセスと権限を制限する。脆弱なワークロードを分離し、最小権限のアクセス許可を適用して、不要な外部接続を制限する。
- 一時的な防御策を強化する。WAFとホスティングプロバイダーの保護機能を見直す。Cloudflareの10月21日の緊急WAFアップデートでは、異常なリクエストに対応する管理ルールが4つ追加された。内訳はブロックルール2つとログ記録ルール2つだ。Cloudflareはこの発表でPHPのCVEを特定しておらず、これらの制御機能がパッチ適用の代わりになることもない。最近のSiteGuard WAFの脆弱性も、防御インフラを維持する必要性を浮き彫りにしている。
- 侵害の可能性を監視する。不審なHTTPリクエスト、予期しないサーバープロセス、不正なファイル変更を調査する。証拠を保全し、露出した可能性のある認証情報を評価する。
- インシデント対応計画をテストする。封じ込め手順、エスカレーション先の連絡先、バックアップの復元を検証する。サーバーの隔離と復旧を対象とする訓練を実施する。
マネージドホスティングの顧客は、プロバイダーにパッチ適用のスケジュールを確認すべきだ。CloudLinuxのパッケージに関するアドバイザリーでは、更新されたホスティングパッケージが上流のPHP修正に依存すると説明している。
サポート対象外のPHPインストール環境では、ベンダーによるバックポート、移行、または継続的な露出制限が必要になる。検証済みのランタイム更新が、依然として主要な対策だ。
詳しくはこちら：最近のIvanti VPNのゼロデイ攻撃が示すように、パッチ適用には認証情報の窃取や不正アクセスの可能性を調査することも伴わなければならない。